Ekstensi IIS Berbahaya Mendapatkan Popularitas Di Antara Penjahat Cyber ​​untuk Akses Persisten

Malicious IIS Extensions

Pelaku ancaman semakin menyalahgunakan ekstensi Layanan Informasi Internet (IIS) ke server pintu belakang sebagai sarana untuk membangun “mekanisme persistensi yang tahan lama.”

Itu menurut peringatan baru dari Microsoft 365 Defender Research Team, yang mengatakan bahwa “pintu belakang IIS juga lebih sulit dideteksi karena sebagian besar berada di direktori yang sama dengan modul sah yang digunakan oleh aplikasi target, dan mereka mengikuti struktur kode yang sama dengan clean modul.”

Rantai serangan yang mengambil pendekatan ini dimulai dengan mempersenjatai kerentanan kritis dalam aplikasi yang dihosting untuk akses awal, menggunakan pijakan ini untuk menjatuhkan skrip web shell sebagai payload tahap pertama.

Keamanan cyber

Shell web ini kemudian menjadi saluran untuk memasang modul IIS jahat untuk menyediakan akses yang sangat rahasia dan persisten ke server, selain memantau permintaan masuk dan keluar serta menjalankan perintah jarak jauh.

Memang, awal bulan ini, peneliti Kaspersky mengungkapkan kampanye yang dilakukan oleh grup Gelsemium, yang ditemukan memanfaatkan kelemahan ProxyLogon Exchange Server untuk meluncurkan malware IIS yang disebut SessionManager.

Ekstensi IIS Berbahaya

Dalam serangkaian serangan lain yang diamati oleh raksasa teknologi antara Januari dan Mei 2022, server Exchange ditargetkan dengan cangkang web melalui eksploitasi untuk kelemahan ProxyShell, yang pada akhirnya menyebabkan penyebaran pintu belakang yang disebut “FinanceSvcModel.dll” tetapi tidak sebelum periode pengintaian.

Keamanan cyber

“Pintu belakang memiliki kemampuan bawaan untuk melakukan operasi manajemen Exchange, seperti menghitung akun kotak surat yang diinstal dan mengekspor kotak surat untuk eksfiltrasi,” jelas peneliti keamanan Hardik Suri.

Related Post :   Paradoks Admin Aplikasi SaaS

Untuk mengurangi serangan tersebut, disarankan untuk menerapkan pembaruan keamanan terbaru untuk komponen server sesegera mungkin, tetap mengaktifkan antivirus dan perlindungan lainnya, meninjau peran dan grup yang sensitif, dan membatasi akses dengan mempraktikkan prinsip hak istimewa paling rendah dan menjaga kebersihan kredensial yang baik. .


Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan.