駭客再開採Exchange Server ProxyShell漏洞以散布勒索軟體

還記得ProxyShell漏洞嗎？貴公司補了漏洞沒？思科安全研究人員警告，又有一個駭客組織正在鎖定未修補ProxyShell漏洞的Exchange Server散布勒索軟體Babuk。

ProxyShell實際上是3個Exchange Server漏洞總稱，包括CVE-2021-34473與CVE-2021-34523，以及CVE-2021-31207，分屬遠端程式攻擊漏洞、權限擴張漏洞與安全功能繞過漏洞，影響Microsoft Exchange Server 2013、2016與2019。微軟已在今年4、5月修補。

不過思科旗下Talos實驗室研究人員於今年10月中，仍發現了ProxyShell惡意開採活動，他們研判是一個名為Tortilla的駭客組織所為，這個組織從今年7月開始活動。在這波攻擊中，他們鎖定未修補漏洞的Exchange Server植入Babuk勒索軟體。受害者以美國企業為主，其他感染地區還包括英國、德國、烏克蘭、芬蘭、巴西、泰國及宏都拉斯。

圖片來源_思科

這次攻擊行動較特殊的是駭客使用了多階段的惡意程式下載。研究人員在受害Exchange Server中，發現DLL及.NET執行檔下載器，DLL下載器是以IIS work process合法程式，從惡意網域下載第2階段的封裝下載器。這個封裝下載器為一加密檔案，它有2個作用，一是躲避端點安全產品偵測，二是再連到pastebin.com的clone網站 pastebin.pl，以下載並解密最後的Babuk勒索軟體。

研究人員相信，Tortilla是利用Exchange Server的Proxyshell漏洞內植入China Chopper webshell，並以此啟動整個下載過程。

一旦Babuk下載並在受害者Exchange Server執行後，即會關閉備份產品或服務如Veeam的行程，刪除陰影複製服務VSS螢幕擷圖，然後加密系統內的檔案，加密後的檔案皆有.babyk的副檔名。受害者會被勒索1萬美元以交換解密金鑰。

研究人員也提醒企業IT人員架構多層次安全，並使用行為分析產品來偵測威脅，保護端點及Exchange Server伺服器。