ຜູ້ຊ່ຽວຊານທາງດ້ານຄວາມຫມັ້ນຄົງປອດໄພຈາກ GTSC(3) ປະເທດ ຫວຽດນາມ ລາຍງານຊ່ອງໂຫວ່ Zero-Day ໃນ Microsoft Exchange ທີ່ເລີ່ມກວດພົບການໂຈມຕີແລ້ວ ໄດ້ມີການລາຍງານໄປທີ່ Zero Day Initiative (ZDI) ປະກອບດ້ວຍຊ່ອງໂຫວ່ 2 ອັນ ໄດ້ແກ່ ZDI-CAN-18333 ມີຄະແນນ CVSS 8.8 ແລະ ZDI-CAN-18802 ມີຄະແນນ CVSS 6.3 ຊ່ອງໂຫວ່ນີ້ ສາມາດສ້າງຄວາມເສຍຫາຍໄດ້ຄ່ອນຂ້າງຫລາຍ ເຮັດໃຫ້ຜູ້ໂຈມຕີ ສາມາດເຮັດ Remote Code Execution (RCE) ໄປທີ່ເຄື່ອງເປົ້າໝາຍໄດ້ ໂດຍໃຊ້ການໂຈມຕີດ້ວຍ Request ທີ່ມີລັກສະນະຄ້າຍກັບການໂຈມຕີຊ່ອງໂຫວ່ ProxyShell ກ່ອນໜ້ານີ້ ແລະ ເມື່ອເຈາະຜ່ານຊ່ອງໂຫວ່ໄດ້ສຳເລັດ ຈະມີການຕິດຕັ້ງ Antsword ຊຶ່ງເປັນ Webshell ຈາກປະເທດຈີນ ເພື່ອໃຊ້ເປັນ Backdoor ໃນການໂຈມຕີຕໍ່ໄປ.
ລ່າສຸດ Trend Micro ໄດ້ອອກລາຍງານເຕືອນກ່ຽວກັບຊ່ອງໂຫວ່ນີ້ມາແລ້ວເຊັ່ນກັນ ມີການເພີ່ມ Protection ແລະ Detection Rule ໃນຜະລິດຕະພັນຂອງຕົນເອງແລ້ວ ປະຈຸບັນຊ່ອງໂຫວ່ນີ້ຍັງບໍ່ມີຕົວແກ້ໄຂຈາກທາງ Microsoft ໂດຍທາງ GTSC ແນະນຳໃຫ້ຜູ້ເບິ່ງແຍງລະບົບແກ້ໄຂບັນຫາຊົ່ວຄາວໄປກ່ອນ ດ້ວຍການປັບແຕ່ງ IIS Server rule ຜ່ານທາງ URL Rewrite Rule Module ດັ່ງນີ້:
In Autodiscover at FrontEnd, select tab URL Rewrite, and then Request Blocking.
Add string “.*autodiscover\.json.*\@. *Powershell.*“ to the URL Path.
Condition input: Choose {REQUEST_URI}
ຜູ້ເບິ່ງແຍງລະບົບທີ່ຕ້ອງການກວດສອບວ່າ Exchange Server ຖືກໂຈມຕີ ຫລື ບໍ່ ສາມາດເປີດຄຳສັ່ງ PowerShell ດ້ານລຸ່ມ ເພື່ອກວດສອບ IIS Log.
Get-ChildItem -Recurse -Path -Filter “*.log” | Select-String -Pattern ‘powershell.*autodiscover\.json.*\@. *200
ເອກະສານອ້າງອີງ:
- https://www.bleepingcomputer.com/news/security/new-microsoft-exchange-zero-day-actively-exploited-in-attacks/
- https://gteltsc.vn/blog/warning-new-attack-campaign-utilized-a-new-0day-rce-vulnerability-on-microsoft-exchange-server-html
- https://www.techtalkthai.com/new-zero-day-was-found-on-microsoft-exchange/