Хакерите използват неизвестни досега уязвимости в Microsoft Exchange, за да извършват атаки

Според виетнамската компания GTSC, работеща в сферата на информационната сигурност, нападателите използват две неизвестни досега уязвимости, за да атакуват сървърите на Microsoft Exchange. Откритите уязвимости позволяват на хакерите да извършат дистанционно изпълнение на код, а първите инциденти бяха идентифицирани през август 2022 г.

Това са две уязвимости, на които все още не са присвоени CVE идентификатори. Проектът Zero Day Initiative ги проследява като ZDI-Can-18333 (критичност по скалата на CVSS от 8.8 бала) и ZDI-CAN-18802 (критичност по скалата CVSS от 6.3 бала). Според GTSC, експлоатацията на тези уязвимости позволява на нападателите да проникнат в системата на жертвата и да извършат допълнителни действия във вътрешната мрежа.

„Открихме, че уеб-обвивките, предимно обфусцираните, се изпращат към сървърите на Exchange. С помощта на специален user-agent, открихме, че нападателят използва Antsword, който представлява китайски инструмент за управление на различни платформи с отворен код. Той предоставя административен достъп до уеб-конзолите“, се казва в изявлението на GTSC.

Компанията смята, че една от китайските хакерски групи, използващи споменатите уязвимости, стои зад атаките срещу сървърите на Microsoft Exchange. В допълнение към кода на опростения китайски език, това се доказва и от използването на бекдора China Chopper, предназначен за осигуряване на възможност на нападателите да се свържат отново със системите на жертвата по всяко време. След като проникнат в ИТ системите на жертвата, хакерите обикновено инжектират злонамерени DLL файлове в паметта, както и изтеглят друг зловреден софтуер с помощта на приложението WMI.

Официалните представители на Microsoft все още не са коментирали този въпрос. Вероятно софтуерният гигант скоро ще пусне пач за отстраняване на откритите уязвимости.