นักวิจัยด้านความปลอดภัยแนะนำให้รั่วไหลจากโปรแกรมพันธมิตรของ Microsoft เป็นเชื้อเพลิงในแคมเปญแฮ็ค SharePoint ขนาดใหญ่ที่มีการบุกรุกมากกว่า 400 องค์กร Dustin Childs of Trend Micro Micro’s Initiative ไฮไลท์ไฮไลท์ที่การโจมตีใช้ประโยชน์จากข้อบกพร่องที่เป็นศูนย์เริ่มขึ้นก่อนที่ Microsoft จะเปิดตัวแพตช์อย่างเป็นทางการ

เวลานี้ทำให้เกิดความสงสัยในทฤษฎีที่ว่าผู้โจมตีเพียงแค่ย้อนกลับการแก้ไขหลังจากการเปิดตัว มันชี้ไปที่การรั่วไหลของข้อมูลแพทช์ก่อนปล่อยซึ่งอนุญาตให้นักแสดงภัยคุกคามสามารถสร้างการใช้ประโยชน์จากการใช้ประโยชน์จากความเร็วที่น่าตกใจ เหตุการณ์ดังกล่าวเพิ่มขึ้นตั้งแต่การจารกรรมเป็น ransomware

การรั่วไหลก่อนแพทช์? การตามล่าหาแหล่งกำเนิดของการหาประโยชน์

ศูนย์การโต้เถียงในระยะเวลาที่ผู้เชี่ยวชาญด้านความปลอดภัยพบว่าน่าสงสัยอย่างลึกซึ้งโดยไม่ชี้ไปที่การแฮ็คอิสระที่ยอดเยี่ยม เรื่องราวเริ่มต้นในวันที่ 15 พฤษภาคมเมื่อนักวิจัย

อย่างไรก็ตามหลักฐานแสดงให้เห็นว่าการใช้ประโยชน์จากศูนย์ใหม่ที่เกี่ยวข้อง (CVE-201025-53770) เริ่มต้นขึ้นในวันที่ 7 กรกฎาคม

เขาระบุว่าผู้โจมตีมีจุดเริ่มต้นที่สำคัญซึ่งไม่สามารถอธิบายได้โดยการย้อนกลับของแพทช์หลังการเปิดตัว Childs บอก การลงทะเบียน”การรั่วไหลเกิดขึ้นที่นี่ แพตช์…”การแนะนำความรู้ล่วงหน้าเป็นกุญแจสำคัญ

“ทฤษฎีการรั่วไหล”วางตัวว่านักแสดงภัยคุกคามได้รับข้อมูล MAPP ที่ละเอียดอ่อนซึ่งไม่เพียง แต่รายละเอียดข้อบกพร่องดั้งเดิม แต่ยังเปิดเผยวิธีที่แคบ ตามที่ Childs ทุกคนที่มีข้อมูลนี้“ จะสามารถบอกได้ว่านี่เป็นวิธีที่ง่ายในการผ่านมันไป” ช่วยให้พวกเขาสามารถแก้ไขปัญหาการแก้ปัญหาได้

ในขณะที่ไทม์ไลน์มีการชี้นำอย่างมากนักวิจัยคนอื่น ๆ เสนอความเป็นไปได้ทางเลือก Satnam Narang จากการวิจัยที่น่าจดจำระบุว่ามันเป็นไปไม่ได้ที่ผู้โจมตีจะพบข้อบกพร่องด้วยตัวเองบางทีอาจได้รับความช่วยเหลือจากเครื่องมือสมัยใหม่ เขาบอกกับการลงทะเบียนว่า“ เป็นการยากที่จะบอกว่าโดมิโนต้องตกเพื่อให้นักแสดงภัยคุกคามเหล่านี้สามารถใช้ประโยชน์จากข้อบกพร่องเหล่านี้ในป่าได้”

สำหรับส่วนของมัน เมื่อถูกถามโฆษกให้คำแถลงทั่วไปโดยกล่าวว่า“ ในฐานะส่วนหนึ่งของกระบวนการมาตรฐานของเราเราจะตรวจสอบเหตุการณ์นี้ค้นหาพื้นที่เพื่อปรับปรุงและใช้การปรับปรุงเหล่านั้นอย่างกว้างขวาง” สิ่งนี้ทำให้เกิดคำถามที่สำคัญว่าผู้โจมตีเริ่มต้นอย่างเป็นทางการได้อย่างไร

จากการจารกรรมไปจนถึงแรนซัมแวร์: กลุ่มที่เชื่อมโยงกับจีนถูกตำหนิสำหรับการโจมตี

เป็นรายละเอียดทางเทคนิค ในรายงานโดยละเอียดการสอบสวนของ Microsoft การเพิ่มขึ้นอย่างมากทำให้เงินเดิมพันสำหรับองค์กรที่ไม่มีใครเทียบได้เปลี่ยนภัยคุกคามหลักจากการโจรกรรมข้อมูลลับไปสู่การเป็นอัมพาตในการดำเนินงานและการขู่กรรโชกทางการเงิน

กายวิภาคของการโจมตี: คีย์ที่ถูกขโมยไป ผู้โจมตีที่มุ่งมั่นสามารถหลีกเลี่ยงการแก้ไขความปลอดภัยได้อย่างรวดเร็ว นักวิจัยเชื่อว่านักแสดงภัยคุกคามใช้เทคนิคที่เรียกว่า”Patch Diffing”เพื่อวิเคราะห์การอัปเดตความปลอดภัยในเดือนกรกฎาคมของ Microsoft ซึ่งหมายถึงการแก้ไขข้อบกพร่องที่เกี่ยวข้อง

วิธีการโจมตีนั้นเป็นสิ่งที่น่ากลัวและได้รับการออกแบบมาเพื่อการคงอยู่ในระยะยาว แทนที่จะปรับใช้ webshell แบบโต้ตอบทั่วไปผู้โจมตีจะปลูกไฟล์สคริปต์ขนาดเล็กที่กำหนดเป้าหมายชื่อ spinstall0.aspx บนเซิร์ฟเวอร์ที่ถูกบุกรุก ความปลอดภัยของ บริษัท รักษาความปลอดภัยซึ่งตรวจพบแคมเปญเป็นครั้งแรกที่ระบุว่า“ นี่ไม่ใช่เว็บเชลล์ทั่วไปของคุณไม่มีคำสั่งแบบโต้ตอบเปลือกย้อนกลับหรือตรรกะคำสั่งและการควบคุม” จุดประสงค์เพียงอย่างเดียวคือ exfiltrate ปุ่ม cryptographic ของเซิร์ฟเวอร์ .

การขโมย keys เหล่านี้ พวกเขาเป็นข้อมูลรับรองหลักที่ใช้โดยระบบการจัดการของรัฐ SharePoint Farm เพื่อตรวจสอบและถอดรหัสข้อมูลเซสชัน ด้วยการครอบครองคีย์เหล่านี้ผู้โจมตีสามารถสร้าง payloads `__viewstate` ที่ถูกต้องได้อย่างมีประสิทธิภาพเปลี่ยนคำขอที่ได้รับการรับรองความถูกต้องเป็นเวกเตอร์การดำเนินการรหัสระยะไกลที่เป็นไปได้ สิ่งนี้ให้พวกเขามีระดับการควบคุมที่ลึกซึ้งและต่อเนื่องซึ่งยากต่อการตรวจจับ

วิธีนี้ทำให้มั่นใจได้ว่าผู้โจมตีสามารถรักษาการเข้าถึงได้แม้หลังจากที่องค์กรใช้แพตช์ฉุกเฉินของ Microsoft ในขณะที่ทีมวิจัยที่ Eye Security เตือน“ กุญแจเหล่านี้อนุญาตให้ผู้โจมตีปลอมตัวเป็นผู้ใช้หรือบริการแม้หลังจากเซิร์ฟเวอร์ได้รับการแก้ไขดังนั้นการแก้ไขเพียงอย่างเดียวไม่สามารถแก้ปัญหาได้” รายละเอียดที่สำคัญนี้หมายความว่าเซิร์ฟเวอร์ใด ๆ ที่ถูกบุกรุกก่อนที่จะได้รับการแก้ไขยังคงมีความเสี่ยงจนกว่าจะมีการดำเนินการเพิ่มเติม

ดังนั้นการแก้ไขจึงเป็นกระบวนการสองขั้นตอนที่ซับซ้อน เพียงแค่ใช้การอัปเดตความปลอดภัยใหม่นั้นไม่เพียงพอที่จะขับไล่ผู้โจมตีที่ละเมิดเซิร์ฟเวอร์แล้ว Microsoft ได้เน้นว่าองค์กรจะต้องดำเนินการขั้นตอนที่สองที่สำคัญ:

Microsoft และ Cisa Scramble เจ้าหน้าที่. เริ่มต้นการดิ้นรนเพื่อให้มีภัยคุกคามก่อนที่จะมีการแก้ไขพร้อมใช้งานคำแนะนำการบรรเทาปัญหาเร่งด่วนครั้งแรกของ Microsoft เมื่อวันที่ 20 กรกฎาคมแนะนำผู้ดูแลระบบเพื่อเปิดใช้งานคุณสมบัติความปลอดภัยที่เฉพาะเจาะจงและหมุนปุ่มเซิร์ฟเวอร์ของพวกเขา เพียงหนึ่งวันต่อมาเมื่อวันที่ 21 กรกฎาคม บริษัท ได้เปิดตัวการอัปเดตความปลอดภัยฉุกเฉินสำหรับการอัพเดทในช่วงฉุกเฉินสำหรับรุ่น SharePoint ในสถานที่ทั้งหมด

ในแถลงการณ์ที่ยอมรับแรงโน้มถ่วงของเหตุการณ์ที่เกิดขึ้นโฆษกของ Microsoft กล่าวว่า (CISA) ดำเนินการเด็ดขาด เอเจนซี่ รายการของข้อบกพร่องที่รู้จักกันว่าถูกใช้อย่างแข็งขันโดยศัตรู CISA ออกคำสั่งที่มีผลผูกพันสั่งให้หน่วยงานพลเรือนของรัฐบาลกลางทั้งหมดใช้แพทช์และขั้นตอนการแก้ไขของ Microsoft ภายในวันที่ 21 กรกฎาคมส่งสัญญาณการเร่งด่วนระดับสูงสุด

ในการแจ้งเตือน Cisa อธิบายถึงอันตรายที่เกิดขึ้นจากการใช้งาน ผ่านเครือข่าย”

คำสั่งของรัฐบาลกลางมาเป็นรายชื่อของผู้ที่ตกเป็นเหยื่อพุ่งสูงขึ้นจากไม่กี่โหลถึง การเปิดเผยสาธารณะ การพัฒนานี้มีประสิทธิภาพในการโจมตีที่ซับซ้อนอย่างมีประสิทธิภาพทำให้สามารถเข้าถึงอาชญากรไซเบอร์และแรนซัมแวร์ได้ในวงกว้าง ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่าสิ่งนี้น่าจะก่อให้เกิดคลื่นขนาดใหญ่ของการโจมตีโดยอัตโนมัติโดยไม่เลือกปฏิบัติกับระบบที่ยังไม่ได้จับ