攻击新姿势:通过入侵Outlook Web应用(OWA)服务器来破坏机构网络


发布人:admin分类:网络安全浏览量:26发布时间:2017-12-12

研究人员发现了一种先进的恶意软件,它可以通过感染机构的Outlook Web应用(OWA)邮件服务器来破坏机构的网络。

机构网络新型攻击方式

根据Cybereason安全公司的专家们的消息,网络威胁者通过一个Web邮件服务器攻陷了一个不知名的机构网络,并对它进行了数个月的控制。受害者是一个总部在美国的中型公共服务公司,该公司联系了Cybereason公司以调查可能的入侵方式。Cybereason在受害者的19000个端点上部署其产品,以此识别攻击源头并减轻攻击的影响。

在调查过程中,Cybereason发现了一个可疑的DLL文件,该文件被加载到了该机构的微软Outlook Web应用(Outlook Web App,OWA)服务器。该机构使用这个服务器来使得远程用户能够访问Outlook。

OWA是微软Exchange服务器(从5.0版本开始)的一个Web邮箱组件,它允许用户通过使用任何Web浏览器来访问他们的Exchange服务器邮箱。而袭击者在该机构的非警戒区域植入了一个可通过Web访问的服务器后门。

Cybereason发布的一篇报告中声明道:

“OWA是独一无二的:它是一个关键的内部基础设施,同时它也面临着互联网,使其作为内部、受保护的DMZ以及Web之间的一个中间层。OWA的这个配置创建了一个理想的攻击平台,因为服务器同时暴露在内部和外部。因为OWA认证是基于域凭据的,所以获取访问OWA服务器权限的人将成为整个机构的域凭据的拥有者。”

攻击原理介绍

Cybereason的专家们发现了一个可疑的DLL“OWAAUTH.dll”,它与用于身份认证机制的合法OWA DLL名字相同。此外,专家们注意到一些奇怪的内容,因为这个DDL的代码是无符号的,并且它是从一个不同的文件夹进行加载的。

报告中陈述道:

“黑客安装了一个带有后门的恶意OWAAUTH.dll,OWA使用该DLL作为身份验证机制的一部分,并负责验证环境中所用的活动目录(Active Directory,AD)服务器用户身份。此外,恶意OWAAUTH.DLL还向IIS服务器中安装了一个ISAPI过滤器,并会过滤HTTP请求。”

这种设置使得在SSL/TLS解密并提取用户凭证之后,黑客能够以明文形式获得所有请求,网络威胁者在注册表中安装过滤器,以此确保持久性的感染,然后在服务器每次重启之后都会加载恶意代码。提取的身份验证凭证存储在一个加密的文本文件中。

专家们解密了文件,发现超过11000个属于被黑机构公司的凭证。

这些恶意代码提供了存在于目标系统中的完整功能性后门,它允许攻击者操纵OWA服务器上的文件,并使其能够执行命令和任意代码。Cybereason报告中继续陈述道:

“根据定义,OWA要求机构定义一组相对宽松的限制;在这种情况下,OWA配置的方式允许以面向互联网的方式访问服务器,这使得黑客能够在几个月的时间段内不被检测到的情况下,对整个机构的环境建立持久控制。”

*参考来源:securityaffairs、thehackernews,,转载请注明来自FreeBuf黑客与极客(FreeBuf.com)


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21406697(PV) 页面执行时间:78.265(MS)
  • xml
  • 网站地图