El grupo de ransomware Play fue descubierto explotando otro fallo poco conocido de SSRF para activar RCE en los servidores Exchange afectados.

Los operadores de una cepa de ransomware llamada Play han desarrollado una nueva cadena de exploits para una vulnerabilidad crítica de ejecución remota de código (RCE) en Exchange Server que Microsoft parcheó en noviembre.

El nuevo método elude las mitigaciones que Microsoft había proporcionado para la cadena de exploits, lo que significa que las organizaciones que sólo las han implementado, pero aún no han aplicado el parche para ello deben hacerlo inmediatamente.

La vulnerabilidad RCE en cuestión (CVE-2022-41082) es una de las dos fallas llamadas "ProxyNotShell" en las versiones 2013, 2016 y 2019 de Exchange Server que la compañía de seguridad vietnamita GTSC reveló públicamente en noviembre después de observar a un actor de amenaza explotándolas. El otro fallo ProxyNotShell, rastreado como CVE-2022-41040, es un error de falsificación de solicitud del lado del servidor (SSRF) que da a los atacantes una forma de elevar privilegios en un sistema comprometido.

En el ataque del que informó GTSC, el actor de la amenaza utilizó la vulnerabilidad SSRF CVE-2022-41040 para acceder al servicio PowerShell remoto y lo utilizó para activar el fallo RCE en los sistemas afectados. En respuesta, Microsoft recomendó que las organizaciones aplicaran una regla de bloqueo para impedir que los atacantes accedieran al servicio remoto PowerShell a través del punto final Autodiscover en los sistemas afectados. La empresa afirmaba -y los investigadores de seguridad estaban de acuerdo- que la regla de bloqueo ayudaría a evitar patrones de explotación conocidos contra las vulnerabilidades ProxyNotShell.

Nueva cadena de exploits

Esta semana, sin embargo, los investigadores de CrowdStrike dijeron que habían observado que los actores de la amenaza detrás del ransomware Play utilizan un nuevo método para explotar CVE-2022-41082 que elude la medida de mitigación de Microsoft para ProxyNotShell.

El método consiste en que el atacante explote otro fallo SSRF poco conocido en el servidor Exchange, identificado como CVE-2022-41080, para acceder al servicio remoto PowerShell a través de la interfaz de Outlook Web Access (OWA), en lugar del punto final Autodiscover. Microsoft ha asignado al fallo la misma calificación de gravedad (8,8) que al fallo SSRF de la cadena de exploits ProxyNotShell original.

CVE-2020-41080 permite a los atacantes acceder al servicio remoto PowerShell y utilizarlo para explotar CVE-2022-41082 exactamente de la misma manera que podrían hacerlo utilizando CVE-2022-41040, dijo CrowdStrike. El proveedor de seguridad describió la nueva cadena de exploits del grupo de ransomware Play como una "forma previamente no documentada de llegar al servicio remoto PowerShell a través del punto final frontend OWA, en lugar de aprovechar el punto final Autodiscover".

Debido a que la mitigación ProxyNotShell de Microsoft sólo bloquea las solicitudes realizadas al punto final Autodiscover en el servidor Microsoft Exchange, las solicitudes para acceder al servicio remoto PowerShell a través del front-end OWA no serán bloqueadas, explicó el proveedor de seguridad.

CrowdStrike ha bautizado la nueva cadena de exploits que involucra a CVE-2022-41080 y CVE-2022-41082 como "OWASSRF".

Parchear ahora o desactivar OWA

"Las organizaciones deben aplicar los parches del 8 de noviembre de 2022 para Exchange para evitar la explotación, ya que las mitigaciones de reescritura de URL para ProxyNotShell no son efectivas contra este método de explotación", advirtió CrowdStrike. "Si no puede aplicar el parche KB5019758 inmediatamente, debe desactivar OWA hasta que se pueda aplicar el parche".

Microsoft no respondió inmediatamente a una solicitud de comentarios.

CrowdStrike dijo que descubrió la nueva cadena de exploits al investigar varias intrusiones recientes del ransomware Play en las que el vector de acceso inicial era a través de una vulnerabilidad de Microsoft Exchange Server. Los investigadores descubrieron rápidamente que los atacantes del ransomware Play habían explotado la vulnerabilidad ProxyNotShell RCE (CVE-2022-41082) para soltar cargas útiles legítimas para mantener el acceso y realizar técnicas antiforenses en los Microsoft Exchange Servers comprometidos.

Sin embargo, no había indicios de que hubieran utilizado CVE-2022-41040 como parte de la cadena de explotación. La investigación posterior de CrowdStrike mostró que los atacantes habían utilizado en su lugar CVE-2022-41080.

Las recomendaciones del proveedor de seguridad a las organizaciones para reducir su exposición a la nueva amenaza incluyen deshabilitar PowerShell remoto para usuarios no administrativos siempre que sea posible y utilizar herramientas EDR para detectar servicios Web que generen procesos PowerShell. La empresa también ha proporcionado un script que los administradores pueden utilizar para supervisar los servidores Exchange en busca de indicios de explotación.

Fuente: darkreading