技术干货 | 检测和应对利用Microsoft Exchange零日漏洞的行为

表1.2021年3月微软Exchange CVE和FireEye英特尔总结清单 2021年3月Microsoft Exchange CVEs和FireEye Intel汇总表

从2021年1月开始，Mandiant Managed Defense (托管防御) 观察到在客户环境中的一个Microsoft Exchange服务器文件系统上创建了web shell。该web shell名为help.aspx（MD5：4b3039cf227c611c45d2242d1228a121），包含的代码用于识别 (1) FireEye xAgent、(2) CarbonBlack或 (3) CrowdStrike Falcon终端产品的存在并写入发现的输出。图1提供了web shell的代码片段。

图1：为识别受害者系统上是否存在端点安全软件而制作的web shell help.aspx的片段

该web shell由UMWorkerProcess.exe进程写入系统，该进程与Microsoft Exchange Server的统一消息服务相关联。这一活动表明，CVE-2021-26858被利用了。

大约二十天后，攻击者在一个单独的Microsoft Exchange Server上放置了另一个web shell。这第二个经过部分混淆的web shell名为iisstart.aspx（MD5：0fd9bffa49c76ee12e51e3b8ae0609ac），它更高级，包含与文件系统交互的功能。如图2所示，该Web shell包括运行任意命令和上传、删除及查看文件内容的能力。

图2：攻击者在2021年1月底上传的iisstart.aspx的片段

虽然Web shells的使用在威胁行为者中很常见，但这些文件的parent进程、时间和受害者清楚地表明，这些活动是从滥用Microsoft Exchange开始的。

2021年3月，在一个单独的环境中，我们观察到一个威胁行为者利用一个或多个漏洞，在易受攻击的Exchange服务器上放置至少一个Web shell。这很可能像在其他环境中一样，建立持久性和二次访问。在这种情况下，Mandiant 观察到进程 w3wp.exe（与 Exchange Web 前端相关联的 IIS 进程）生成 cmd.exe 以向磁盘写入文件。

图3：在被入侵的Exchange Server系统上发现的片段

我们观察到，至少在两个案例中，威胁行为者随后对Exchange网络服务器发出了以下命令：

该命令试图从Exchange组织管理员组中删除管理员用户，从当前域中的域控制器开始。如果系统在单系统域中，则会在本地计算机上执行。

根据微软的博客，他们已经确定了更多的漏洞后的活动，包括:

• 通过转储LSASS进程内存窃取证书。

• 通过 7-Zip 压缩数据以进行渗透。

• 使用 Exchange PowerShell Snap-ins 来导出邮箱数据。

• 使用额外的攻击性安全工具 Covenant、Nishang 和 PowerCat 进行远程访问。

我们观察到的活动，加上信息安全行业的其他活动，表明这些威胁行为者很可能是利用Exchange Server的漏洞在环境中立足。这种活动之后，很快就会出现更多的访问和持久性机制。如前所述，我们有多个正在进行的案例，并将在应对入侵时继续提供见解。

我们建议检查以下潜在的泄密证据:

• Exchange服务器上C:Windows/System32/inetsrvw3wp.exe的子进程，特别是cmd.exe。

• w3wp.exe或UMWorkerProcess.exe写入系统的文件。

• SYSTEM用户拥有的ASPX文件

• 在临时ASP.NET文件目录下新增、意外编译的ASPX文件。

• 从外部IP地址向以下资源发出侦察、漏洞测试请求：

          - /rpc/ directory

          - /ecp/DDI/DDIService.svc/SetObject

          -  不存在的资源

          - 与可疑或欺骗的HTTP用户agents

• 出乎意料或可疑的 Exchange PowerShell SnapIn 导出邮箱请求

在我们迄今为止的调查中，在每次入侵中，放置在Exchange服务器上的web shell的命名都不一样，因此，仅凭文件名并不能作为入侵的高保真指标。

如果您认为您的 Exchange Server 已被入侵，我们建议进行调查，以确定攻击的范围和威胁行为者的停留时间。

此外，由于系统和 Web 服务器日志可能有时间或大小的限制，我们建议保留以下鉴识证物 (artifacts)进行取证分析:

• 至少14天来自inetpubLogsLogFiles目录的HTTP网络日志（包括所有子目录的日志）。

• Exchange Web 服务器的内容（也可以在 inetpub 文件夹中找到）。

• 至少14天的Exchange控制面板（ECP）日志，位于Program Files/Microsoft/Exchange Server/v15/Logging/ECP/Server中。

• 微软Windows事件日志

我们在这些日志文件夹中发现了重要的狩猎和分析价值，特别是ECP服务器日志中的可疑CMD参数。我们将在观察到更多相关活动时，继续更新技术细节。

以下是我们观察到的技术指标，按照我们目前与该活动相关的威胁群组来组织。为了提高调查的透明度，我们为网络指标加入了一个最后已知的真实值，或LKT。LKT时间戳表示Mandiant最后一次知道该指标与对手相关联的时间；然而，与所有正在进行的入侵一样，应该考虑一个合理的时间窗口。

FireEye 可在我们的平台上检测到这种活动。以下包含特定的检测名称，这些名称提供了我们与这些威胁行为者相关联的 Exchange Server 开发或开发后活动的指标。