恶意 IIS 扩展在网络犯罪分子中越来越流行以实现持久访问
一颗小胡椒2022-07-27 16:51:30
威胁行为者越来越多地滥用 Internet 信息服务 ( IIS ) 对后门服务器的扩展，以此作为建立“持久性机制”的一种手段。
这是根据 Microsoft 365 Defender 研究团队的新警告，该团队表示“IIS 后门也更难检测，因为它们大多与目标应用程序使用的合法模块位于相同的目录中，并且它们遵循与 clean 相同的代码结构模块。”
采用这种方法的攻击链首先将托管应用程序中的一个关键漏洞武器化以进行初始访问，使用此立足点将脚本 Web shell 作为第一阶段的有效负载。
然后，此 Web shell 成为安装流氓 IIS 模块的管道，以提供对服务器的高度隐蔽和持久的访问，此外还监控传入和传出请求以及运行远程命令。
事实上，本月早些时候，卡巴斯基研究人员披露了 Gelsemium 小组开展的一项活动，该活动被发现利用 ProxyLogon Exchange Server 漏洞启动了一款名为SessionManager的 IIS 恶意软件。
在这家科技巨头在 2022 年 1 月至 2022 年 5 月期间观察到的另一组攻击中，Exchange 服务器通过利用ProxyShell漏洞成为 Web Shell 的目标，最终导致部署了一个名为“FinanceSvcModel.dll”的后门，但没有在一段侦察之前。
“后门具有执行 Exchange 管理操作的内置功能，例如枚举已安装的邮箱帐户和导出邮箱以进行渗透，”安全研究员 Hardik Suri 解释说。
为缓解此类攻击，建议尽快为服务器组件应用最新的安全更新，保持防病毒和其他保护处于启用状态，检查敏感角色和组，并通过实践最小权限原则和保持良好的凭证卫生来限制访问.
一颗小胡椒
暂无描述