Обнаружена атака, использующая Outlook Web Application

Обнаружена атака, использующая Outlook Web Application

Специалисты компании Cybereason опубликовали отчет об интересном случае. Компания-клиент Cybereason, чье название не раскрывается, столкнулась с хитроумным взломом. Атакующие проникли в сеть фирмы через почтовый web-сервер Microsoft Outlook Web App и оставались незамеченными в течение нескольких месяцев.

Компания, насчитывающая более 19 000 сотрудников, обратилась за помощью к специалистам Cybereason, после обнаружения в своей сети ряда аномалий. Эксперты взялись за расследование, инициировали проверку сети и уже через несколько часов обнаружили подозрительный DLL-файл, размещенный на почтовом сервере Outlook Web Application (OWA). Хотя имя файла OWAAUTH.dll совпадало с именем настоящего DLL, который и должен находиться в системе, эта версия, в отличие от оригинала, не имела подписи и лежала не в той директории, передает xakep.ru.

Выяснилось, что OWAAUTH.dll содержит бекдор. Вредоносный DLL работал на OWA-сервере, а значит, имел доступ к HTTPS-запросам, притом уже после их расшифровки. В результате атакующие сумели похитить буквально все пароли и логины людей, обращавшихся к данному серверу. В зашифрованном файле log.txt, хранившемся на сервере в корневой директории диска C:\, эксперты обнаружили логины и пароли 11 000 сотрудников. Очевидно, log.txt использовался атакующими для хранения данных.

Чтобы вредоносный DLL не исчезал при каждой перезагрузке сервера, хакеры также установили ISAPI-фильтр на IIS-сервер, который не только фильтровал HTTP-запросы, но и загружал OWAAUTH.dll обратно. Малварь позволяла хакерами писать и исполнять команды на SQL-серверах, и исполнять произвольный код на самом OWA-сервере.

«В данном случае конфигурация OWA-сервера позволяла получить доступ к нему из интернета. Это позволило хакерам взять под пристальный контроль всю организацию, при этом оставаясь незамеченными на протяжении нескольких месяцев», — рассказывают специалисты Cybereason в блоге.

Эксперты Cybereason не уточняют, является ли данная атака «штучной работой», направленной против конкретной компании, или аналогичная техника может применяться (возможно, уже применяется) и в других случаях, связанных с корпоративным шпионажем.

В платформе Security Vision улучшили визуализацию и администрирование

Security Vision начала год с нового релиза своей платформы. В обновлении разработчики сосредоточились на прикладных вещах: улучшили визуализацию данных, расширили журналирование и упростили работу с экспортом, импортом и административными настройками.

Аналитика и визуализация

В виджете «Карта» появилась тепловая карта. Она позволяет наглядно показывать интенсивность, частоту и количество событий — например, кибератак или инцидентов — в разрезе ИТ-объектов.

В виджете «Последовательность (Timeline)» добавили настраиваемые формы отображения параметров, используемых при выводе данных. Это упрощает анализ цепочек событий и работу с временными срезами.

 

Журналирование и контроль действий

Журнал аудита стал подробнее. Теперь в нём фиксируются события включения и отключения коннекторов, а также расширена информация о действиях, выполняемых с сервисом коннекторов.

Кроме того, в аудит добавлены записи об остановке и удалении запущенных рабочих процессов, а также о создании отчётов, что повышает прозрачность операций и упрощает разбор спорных ситуаций.

Экспорт, импорт и администрирование

При формировании пакета экспорта теперь можно выбрать все связанные с исходной сущностью объекты только для вставки, без замены при импорте. Это особенно удобно при передаче крупных и связанных наборов данных.

В системных настройках очистки истории появилась возможность удалять записи о выполненных операциях импорта и экспорта системных сущностей, что помогает поддерживать порядок в журнале событий.

Обновления интерфейса

В релизе доработан интерфейс формы настроек журнала аудита, переработан раздел «Профиль пользователя», а также обновлены представления для внутрипортальных уведомлений.

Работа с JSON

В блоке преобразований для работы с JSON унифицированы списки вариантов в поле «Название свойства» — теперь они соответствуют вариантам выборки в поле «Значение свойства». Это касается операций добавления, объединения, удаления и поиска по JPath и XPath.

Security Vision продолжает развивать платформу, делая акцент на удобстве повседневной работы, прозрачности процессов и более наглядной аналитике.

RSS: Новости на портале Anti-Malware.ru