Újabb zsarolóvírus ostromolja az Exchange Servereket

​A BlackByte zsarolóvírus is elkezdte kihasználni az Exchange Server idén felfedezett súlyos sebezhetőségeit.
 

A Microsoft Exchange Server kapcsán idén tavasszal három súlyos sebezhetőségre derült fény, amelyek akkor nulladik napi hibáknak számítottak. A javítások áprilisban, illetve májusban váltak elérhetővé, de a kihasználásuk alvilági körökben már márciusban elkezdődött. A három sérülékenység összefoglaló néven "ProxyShell"-ként vált ismertté:
 

• CVE-2021-34473 - ACL-megkerülésre lehetőséget adó hiba
• CVE-2021-34523 - Exchange PowerShell Backend sebezhetőség - jogosultsági szint emelésre módot adó sérülékenység
• CVE-2021-31207 - fájlkezelési rendellenesség

 
A hibák által alkotott sebezhetőségi lánc révén jogosulatlan távoli kódfuttatásra, rendszerkompromittálásra, adatlopásra és vírusterjesztésre nyílhat lehetőségük a támadóknak. A ProxyShellt ez év során számos hírhedt kiberbanda igyekezett a saját javára fordítani. Ezek közé zárkózott fel a BlackByte zsarolóvírust terjesztői csoport.
 
A Red Canary biztonság kutatói olyan incidenseket vizsgáltak, amelyekben szerephez jutott az egyébként már régebb óta fertőző BlackByte. Ehhez a károkozóhoz a Trustwave októberben kiadott egy ingyenes dekódoló eszközt, amivel a korábbi variánsok által titkosított fájlok váltak helyreállíthatóvá. Azonban azóta a vírusírók változtattak a kódjaikon, így a dekódoló eszköz sajnos hatástalanná vált.
 
Amikor a támadóknak sikerül ráakadniuk egy sebezhető Exchange Serverre, akkor a ProxyShell kihasználásával egy webshell kódot másolnak fel a célkeresztbe állított kiszolgálóra. Majd ezen keresztül juttatják fel a zsarolóvírust, illetve hajtják végre az alábbi műveleteket:

• a Windows Update Agent folyamatába történő kódbefecskendezés (Cobalt Strike)
• regisztrációs adatbázis manipulálása
• árnyékmásolatok törlése
• adatszivárogtatás (WinRAR által tömörített fájlok révén publikus fájlmegosztókon keresztül)
• AnyDesk telepítés
• fájlok titkosítása.

 
A fentiekből következik, hogy ezúttal is dupla zsarolásos támadásokról van szó, tehát az elkövetők nem kizárólag a titkosított állományok helyreállításához szükséges információkért követelnek pénzt, hanem az eltulajdonított adatokkal is megpróbálnak zsarolni.