FBI verwijdert webshells van honderden besmette Exchange-servers in VS
De FBI heeft honderden besmette Microsoft Exchange-servers in de Verenigde Staten opgeschoond door aanwezige webshells op afstand te verwijderen, zonder dat beheerders van tevoren om toestemming is gevraagd, zo laat het Amerikaanse ministerie van Justitie weten. De autoriteiten hopen zo misbruik van de kwetsbare servers te voorkomen. De Exchange-servers zijn gecompromitteerd via verschillende kwetsbaarheden waarvoor Microsoft op 2 maart noodpatches uitbracht.
Die beveiligingslekken werden echter al voor het uitkomen van de updates misbruikt. Aanvallers gebruikten de kwetsbaarheden voor het installeren van webshells. Een webshell is een script dat aanvallers op servers plaatsen om toegang te behouden en op afstand code en commando's uit te voeren. Zo zijn de webshells onder andere gebruikt voor de installatie van ransomware op de gecompromitteerde servers en het stelen van gegevens.
Ook na het uitkomen van de beveiligingsupdates bleven aanvallers de kwetsbaarheden gebruiken om ongepatchte Exchange-servers met webshells te infecteren. "Veel eigenaren van besmette systemen hebben de webshells van duizenden servers verwijderd. Anderen zijn hier niet in geslaagd en honderden van dergelijke webshells zijn nog steeds actief", aldus het ministerie. De FBI vroeg een Amerikaanse rechter om toestemming om deze webshells van Exchange-servers in de VS te verwijderen.
Het gaat dan specifiek om de webshells van een groep die in een vroeg stadium van de Exchange-kwetsbaarheden misbruik maakte om toegang tot netwerken van Amerikaanse organisaties te krijgen, zo laat het ministerie verder weten. Deze webshells waren elk voorzien van een unieke pad- en bestandsnaam, waardoor het mogelijk lastiger was voor de servereigenaren om die te vinden en verwijderen.
De FBI is van plan om alle eigenaren en beheerders van de servers waar het de webshells van heeft verwijderd te informeren. In het geval contactgegevens openbaar zijn zal de Amerikaanse opsporingsdienst een e-mail sturen. In het geval de contactgegevens niet bekend zijn, zal de FBI de provider van de betreffende eigenaar informeren, die vervolgens weer de besmette en opgeschoonde klant kan waarschuwen.
Het ministerie voegt toe dat hoewel de webshells succesvol zijn verwijderd, de onderliggende kwetsbaarheden in de Exchange-server niet zijn gepatcht. Ook kan het zijn dat andere malware nog steeds op het systeem aanwezig is. Organisaties wordt dan ook gewezen op eerder advies van Microsoft om servers op malware te controleren.
1: Gebruik die web shell om een email bericht naar de beheerders van die exchange installatie te sturen.
Als daar geen reactie op komt, verder met stappen 2 en 3:
2: Gebruik die web shell om de ontbrekende exchange patches/updates te installeren.
3: Gebruik die web shell om de web shell te verwijderen
Wat could possibly go wrong? Just about everything...
Persoonlijk vind ik dat zelfs de FBI niet verder mag gaan dan stap 1.
Maar de FBI deed alleen stap 3, maar niet stap 2. Dat is dom; zolang de updates niet zijn aangebracht heeft stap 3 weinig zin. Je moet eerst de kraan dichtdraaien (stap 2) en dan pas gaan dweilen (stap 3).
1: Gebruik die web shell om een email bericht naar de beheerders van die exchange installatie te sturen.
Als daar geen reactie op komt, verder met stappen 2 en 3:
2: Gebruik die web shell om de ontbrekende exchange patches/updates te installeren.
3: Gebruik die web shell om de web shell te verwijderen
Wat could possibly go wrong? Just about everything...
Persoonlijk vind ik dat zelfs de FBI niet verder mag gaan dan stap 1.
Maar de FBI deed alleen stap 3, maar niet stap 2. Dat is dom; zolang de updates niet zijn aangebracht heeft stap 3 weinig zin. Je moet eerst de kraan dichtdraaien (stap 2) en dan pas gaan dweilen (stap 3).
1: Gebruik die web shell om een email bericht naar de beheerders van die exchange installatie te sturen.
Als daar geen reactie op komt, verder met stappen 2 en 3:
2: Gebruik die web shell om de ontbrekende exchange patches/updates te installeren.
3: Gebruik die web shell om de web shell te verwijderen
Wat could possibly go wrong? Just about everything...
Persoonlijk vind ik dat zelfs de FBI niet verder mag gaan dan stap 1.
Maar de FBI deed alleen stap 3, maar niet stap 2. Dat is dom; zolang de updates niet zijn aangebracht heeft stap 3 weinig zin. Je moet eerst de kraan dichtdraaien (stap 2) en dan pas gaan dweilen (stap 3).
Ongevraagd rommelen met andermans eigendom.
Zorgelijke Amerikaanse bully mentaliteit.
Dat kan je beter buiten de deur houden, o, ze hebben de voet al tussen de deur...
Ik had zo iets wel van Microsoft verwacht maar toch niet van de FBI. Hebben ze ook zo iets met IoT gedaan?
1: Gebruik die web shell om een email bericht naar de beheerders van die exchange installatie te sturen.
Als daar geen reactie op komt, verder met stappen 2 en 3:
2: Gebruik die web shell om de ontbrekende exchange patches/updates te installeren.
3: Gebruik die web shell om de web shell te verwijderen
Stap 3 kun je ook gebruiken voor het omwisselen met een shell die alleen toegang geeft aan een IP range van de FBI. (vanuit de FBI gedacht)
Vreemde mentaliteit.
Vreemde mentaliteit.
Soms loop ik door de Albert Heijn en doe ook de deur dicht van een openstaande koeling.
Of de analogie passend is weet ik niet.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.