Обнаружена атака, использующая Outlook Web Application

Обнаружена атака, использующая Outlook Web Application

Специалисты компании Cybereason опубликовали отчет об интересном случае. Компания-клиент Cybereason, чье название не раскрывается, столкнулась с хитроумным взломом. Атакующие проникли в сеть фирмы через почтовый web-сервер Microsoft Outlook Web App и оставались незамеченными в течение нескольких месяцев.

Компания, насчитывающая более 19 000 сотрудников, обратилась за помощью к специалистам Cybereason, после обнаружения в своей сети ряда аномалий. Эксперты взялись за расследование, инициировали проверку сети и уже через несколько часов обнаружили подозрительный DLL-файл, размещенный на почтовом сервере Outlook Web Application (OWA). Хотя имя файла OWAAUTH.dll совпадало с именем настоящего DLL, который и должен находиться в системе, эта версия, в отличие от оригинала, не имела подписи и лежала не в той директории, передает xakep.ru.

Выяснилось, что OWAAUTH.dll содержит бекдор. Вредоносный DLL работал на OWA-сервере, а значит, имел доступ к HTTPS-запросам, притом уже после их расшифровки. В результате атакующие сумели похитить буквально все пароли и логины людей, обращавшихся к данному серверу. В зашифрованном файле log.txt, хранившемся на сервере в корневой директории диска C:\, эксперты обнаружили логины и пароли 11 000 сотрудников. Очевидно, log.txt использовался атакующими для хранения данных.

Чтобы вредоносный DLL не исчезал при каждой перезагрузке сервера, хакеры также установили ISAPI-фильтр на IIS-сервер, который не только фильтровал HTTP-запросы, но и загружал OWAAUTH.dll обратно. Малварь позволяла хакерами писать и исполнять команды на SQL-серверах, и исполнять произвольный код на самом OWA-сервере.

«В данном случае конфигурация OWA-сервера позволяла получить доступ к нему из интернета. Это позволило хакерам взять под пристальный контроль всю организацию, при этом оставаясь незамеченными на протяжении нескольких месяцев», — рассказывают специалисты Cybereason в блоге.

Эксперты Cybereason не уточняют, является ли данная атака «штучной работой», направленной против конкретной компании, или аналогичная техника может применяться (возможно, уже применяется) и в других случаях, связанных с корпоративным шпионажем.

Подпишитесь на новости

АКИТ попросила разрешить перенос данных россиян за рубеж после атак на ЦОДы

Ассоциация компаний интернет-торговли предложила разрешить пострадавшим от аварий и повреждений компаниям временно переносить критически важные системы в дата-центры дружественных стран. Вместе с ними — персональные данные россиян. Если российская инфраструктура недоступна, сервисам всё равно нужно где-то работать.

Как выяснил Forbes, АКИТ направила письмо Михаилу Мишустину 15 октября и подтвердила его отправку. В ассоциацию входят Ozon, Wildberries, «Купер» и «Яндекс Маркет».

Речь о временном исключении из требований к локализации данных. Спецрежим предлагают применять на время восстановления инфраструктуры, но не позднее 1 марта 2028 года.

Условия — официально подтверждённый инцидент, невозможность обеспечить работу систем в России и соблюдение требований ИБ. Перечень стран должен определить уполномоченный орган, а порядок разрешений предлагается разработать с Минцифры и Роскомнадзором.

После восстановления компании должны вернуться к обычному режиму обработки данных. Есть и неудобная деталь. Эксперт по защите персональных данных Алексей Мунтян отметил: механизм включается уже после инцидента, тогда как резервирование нужно планировать заранее.

Он также поставил под вопрос выбор стран по дружественности, а не по уровню защиты информации.

RSS: Новости на портале Anti-Malware.ru