SolarWinds Web Help Desk RCE udnyttes aktivt nu

Introduktion: hvorfor det betyder noget

Internet-eksponerede line-of-business-værktøjer er fortsat et attraktivt mål, og Microsoft har observeret angreb i den virkelige verden, hvor kompromittering af en enkelt SolarWinds Web Help Desk (WHD)-instans blev et springbræt til bredere domænekompromittering. Kampagnen er bemærkelsesværdig for “living-off-the-land” (LoTL)-adfærd, brug af legitimt admin-værktøj og støjsvag persistence—taktikker, der ofte undgår kontroller, der kun bygger på signaturer.

Hvad er nyt / hvad Microsoft observerede

Microsoft Defender Research identificerede intrusions i flere faser med udgangspunkt i eksponerede WHD-servere:

• Initial access via WHD-udnyttelse (RCE): Vellykket udnyttelse muliggjorde uautentificeret remote code execution i WHD-applikationskonteksten. Microsoft har ikke bekræftet den specifikke sårbarhed, der blev brugt, men bemærker, at berørte systemer var sårbare over for CVE-2025-40551, CVE-2025-40536 og CVE-2025-26399.
• Payload-levering med indbyggede værktøjer: Efter kompromittering startede WHD-tjenesten PowerShell og brugte BITS til at downloade og afvikle payloads.
• Legitim RMM brugt til kontrol: I flere tilfælde installerede angribere komponenter af Zoho ManageEngine (RMM) (fx artefakter som ToolsIQ.exe) for at få interaktiv adgang.
• Credential access og privilege escalation:
  • Enumerering af domænebrugere/-grupper, herunder Domain Admins.
  • DLL sideloading via wab.exe, der indlæser en ondsindet sspicli.dll, hvilket giver adgang til LSASS og mere skjult credential theft.
  • Mindst én hændelse eskalerede til DCSync, hvilket indikerer credential access med høj privilegering.
• Persistence og undvigelse:
  • Reverse SSH- og RDP-adgang.
  • En særlig snigende teknik: en scheduled task, der starter QEMU under SYSTEM ved opstart, hvilket i praksis skjuler aktivitet i en VM, samtidig med at SSH videresendes over en host-port.

Konsekvenser for IT-admins og slutbrugere

• Admins: Enhver offentligt tilgængelig WHD-instans bør behandles som et muligt indgangspunkt til domæneomfattende kompromittering. Da angribere blander sig med administrativ aktivitet (PowerShell/BITS/RDP/SSH), er adfærdsbaseret overvågning på tværs af endpoint, identity og netværk afgørende.
• Slutbrugere: De afledte konsekvenser kan omfatte konto-overtagelse, password theft, serviceforstyrrelser samt øget risiko for ransomware eller data theft, når først domænekontrol er opnået.

Anbefalede handlinger / næste skridt

1. Patch og reducer eksponering med det samme
   • Anvend opdateringer, der adresserer CVE-2025-40551, CVE-2025-40536 og CVE-2025-26399.
   • Fjern offentlig eksponering, hvor det er muligt, begræns admin-stier, og øg logging (inklusive WHD-komponenter som Ajax Proxy).
2. Hunt efter post-exploitation-indikatorer
   • Brug Microsoft Defender Vulnerability Management (MDVM) til at finde sårbare WHD-servere.
   • I Defender XDR Advanced Hunting: kig efter mistænkelige proceskæder, der starter fra WHD (fx wrapper.exe, der starter PowerShell/BITS), samt ManageEngine/RMM-artefakter tilføjet efter det formodede kompromitteringsvindue.
3. Fjern uautoriseret remote tooling
   • Identificer og fjern uventede ManageEngine RMM-komponenter, og undersøg, hvordan de blev udrullet.
4. Inddæmning og gendannelse
   • Isolér mistænkte hosts og rotér credentials med start i service accounts og admins, der kan nås fra WHD.
   • Undersøg signaler på identity compromise (pass-the-hash/over-pass-the-hash) og DCSync-indikatorer.

Microsoft bemærker, at analysen fortsætter; defenders bør antage, at aktiv udnyttelse fortsætter, og prioritere hygiejne for internet-eksponerede applikationer samt lagdelt detection.