Kimlik bilgilerini çalan Microsoft Exchange eklentisi ortaya çıkarıldı

0

Kaspersky daha önce bilinmeyen, Microsoft web sunucularına ek özellikler sağlamayı amaçlayan bir yazılım parçası şeklinde gizlenen IIS modülünü ortaya çıkardı.

Kullanıcının Outlook Web Access’te (OWA) oturum açarken girdiği kimlik bilgilerini çalan bu modüle Owowa adı verildi. Modül saldırganların sunucuya uzaktan kontrol erişimi elde etmelerini de sağlıyor. 2020 sonu ile Nisan 2021 arasında derlenen bu modül, ağ izlemeyle tespit edilmesi zor olan gizli bir hırsızlık yöntemi kullanıyor. Ayrıca Exchange’den gelen yazılım güncellemelerine karşı da dayanıklı ve cihazda uzun süre gizli kalabiliyor.

2021’de gelişmiş tehdit aktörleri, Microsoft Exchange Server’ın güvenlik açıklarından giderek daha fazla yararlanmaya başladı. Mart ayında sunuculardaki dört kritik güvenlik açığı, saldırganların kayıtlı tüm e-posta hesaplarına erişmesine ve rastgele kod yürütmesine izin verdi. Kaspersky uzmanları, Exchange’de potansiyel olarak zararlı olabilecek eklentileri ararken, saldırganların Outlook Web Access için oturum açma kimlik bilgilerini çalmasına ve sunucuya uzaktan erişim elde etmesine olanak tanıyan kötü amaçlı bir modülü ortaya çıkardı. Kaspersky, bu kötü amaçlı modüle Owowa adını verdi. Modülün yetenekleri, görünüşte zararsız istekler gönderilerek (OWA kimlik doğrulama istekleri gibi) kolayca başlatılabiliyor.

Kaspersky uzmanları, modülün 2020 sonuyla Nisan 2021 arasında derlendiğine ve Malezya, Moğolistan, Endonezya ve Filipinler’deki kurbanları hedef aldığına inanıyor. Kurbanların çoğu devlet kurumlarıyla, bir diğeri ise bir devlet nakliye şirketine bağlıydı. Avrupa’da da başka kurbanların olması muhtemel.

Siber suçluların kullanıcı adı ve parola alanlarına özel hazırlanmış komutları girmek için yalnızca güvenliği ihlal edilmiş sunucunun OWA oturum açma sayfasına erişmesi yetiyor. Bu, saldırganların Exchange sunucusunda ve hedeflenen ağlarda kalıcı olarak güçlü bir yer edinmesinde oldukça etkili oluyor.

Cevap bırakın