Microsoft: malafide IIS-extensies gebruikt als backdoor voor Exchange-servers
Tussen januari en mei van dit jaar hebben aanvallers malafide IIS-extensies gebruikt als backdoor voor Exchange-servers, waarmee mailboxen en wachtwoorden konden worden gestolen, zo meldt Microsoft. IIS is de webserversoftware van Microsoft die standaard op Exchange-servers wordt geïnstalleerd. Het biedt gebruikers de mogelijkheid voor het installeren van extensies om zo de server naar hun wensen aan te passen.
Het is echter ook mogelijk om malafide IIS-extensies te maken die als backdoor kunnen fungeren. Volgens Microsoft maken aanvallers echter niet zo vaak gebruik van dergelijke IIS-extensies, maar kiezen ze vaker voor een webshell. Een webshell is een script dat aanvallers op servers plaatsen om toegang te behouden en op afstand code en commando's uit te voeren. Door de voorkeur voor webshells worden malafide IIS-extensies slechter gedetecteerd dan webshells.
Daarnaast zijn IIS-backdoors lastiger te detecteren omdat ze zich in dezelfde directories als legitieme extensies bevinden en dezelfde codestructuur als schone extensies gebruiken, aldus Microsoft. "In de meeste gevallen is de backdoorlogica minimaal en zonder een breder begrip van hoe legitieme IIS-extensies werken niet als kwaadaardig te beschouwen, wat het ook lastiger maakt om de infectiebron te bepalen", zo laat Hardik Suri van het Microsoft 365 Defender Research Team verder weten.
Bij de aanvallen maken de aanvallers eerst gebruik van een kwetsbaarheid in Exchange om een webshell te installeren. Vervolgens wordt via de webshell de malafide IIS-extensie geïnstalleerd. De extensie laat aanvallers mailboxen en inloggegevens stelen en Exchange-logs aanpassen. Met de gestolen inloggegevens houden de aanvallers toegang tot de server, ook als de primaire backdoor wordt ontdekt en verwijderd.
Microsoft verwacht dat aanvallers vaker IIS-backdoors zullen inzetten en het daarom zeer belangrijk is dat verdedigers weten hoe deze aanvallen werken, om ze zo te kunnen detecteren en voorkomen. Verder worden organisaties geadviseerd om servers up-to-date te houden en groepen zoals Administrators, Remote Desktop Users en Enterprise Admins te controleren, aangezien aanvallers geregeld accounts hieraan toevoegen. Tevens adviseert Microsoft om het web.config bestand en de bin directory op malafide toevoegingen te controleren.
In Nederland is dat een zeer besmettelijke ziekte.
Office, Teams en Exchange zo lek als een zeef.
Office, Teams en Exchange zo lek als een zeef.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
