Эксперты «Лаборатории Касперского» обнаружили сложно детектируемый бэкдор* SessionManager. Он позволяет получить доступ к корпоративной ИТ-инфраструктуре и выполнять широкий спектр вредоносных действий: читать корпоративную почту, распространять вредоносное ПО и удалённо управлять заражёнными серверами.
Злоумышленники внедряют зловред дистанционно в виде модуля для Microsoft IIS — набора веб-сервисов, включающего в себя почтовый сервер Exchange. С работой этого сервера сталкивается любой сотрудник компании при использовании корпоративной почты Microsoft. Для распространения SessionManager и других вредоносных IIS-модулей злоумышленники эксплуатируют уязвимость ProxyLogon.
По данным «Лаборатории Касперского», первые атаки с использованием SessionManager были зафиксированы в конце марта 2021 года. Жертвы — преимущественно государственные органы и некоммерческие организации в Африке, Южной Азии, Европе и на Ближнем Востоке. К настоящему моменту бэкдор обнаружен на 34 серверах в 24 компаниях. SessionManager часто остаётся незамеченным, так как его плохо детектируют большинство популярных онлайн-сканеров.
Продукты «Лаборатории Касперского» успешно обнаруживают SessionManager и помогают отражать дальнейшие кибератаки с применением этого бэкдора.
«Ставшая публично известной в начале 2021 года уязвимость ProxyLogon в сервере Microsoft Exchange дала злоумышленникам новый вектор для атак, которым они активно пользуются, в том числе для загрузки бэкдоров в виде модулей веб-сервера IIS. С помощью одного из таких зловредов, SessionManager, злоумышленники получают стойкий к обновлениям, долговременный и успешно скрываемый доступ к корпоративной ИТ-инфраструктуре», — рассказывает Денис Легезо, ведущий эксперт по кибербезопасности «Лаборатории Касперского».
Чтобы узнать больше о таких зловредах, читайте Securelist. А чтобы защитить компании от подобных атак, «Лаборатория Касперского» рекомендует:
- регулярно проверять IIS-модули, загруженные на IIS-серверы (в особенности серверы почтовых ящиков), с помощью входящих в комплект инструментов. Обязательно проводите проверку каждый раз, когда становится известно о крупной уязвимости всерверах Microsoft;
- регулярно и оперативно устанавливать обновления используемого ПО, так как они включают в себя устранение обнаруженных уязвимостей. Компания Microsoft выпустила обновление безопасности для устранения уязвимости ProxyLogon ещё в марте 2021 года;
- сосредоточьте стратегию защиты на поиске перемещений по сети и передаче данных в интернет. Обращайте отдельное внимание на исходящий трафик, чтобы вовремя детектировать вредоносные подключения. Регулярно создавайте резервные копии данных. Убедитесь, что есть возможность быстро получить к ним доступ в случае необходимости;
- используйте защитные решения Kaspersky Endpoint Detection and Response и Kaspersky Managed Detection and Response, которые помогают распознавать и останавливать атаку на ранних стадиях, до того как злоумышленники достигнут своих целей;
- используйте надёжное защитное решение, которое обладает функциями предотвращения эксплойтов, поведенческого детектирования и отката вредоносных действий, такое как Kaspersky Endpoint Security для бизнеса. В продукте также есть механизмы самозащиты, которые исключают возможность его удаления из системы злоумышленниками.
* Вредоносная программа, предназначенная для скрытого удалённого управления злоумышленником пораженным компьютером.
