SolarWinds Web Help Desk RCE: Microsoft warnt

Einleitung: warum das wichtig ist

Internet-exponierte Line-of-Business-Tools bleiben ein hochwertiges Ziel. Microsoft hat Angriffe in der Praxis beobachtet, bei denen die Kompromittierung einer einzelnen SolarWinds Web Help Desk (WHD)-Instanz als Sprungbrett für eine weitergehende Domänenkompromittierung diente. Die Kampagne ist bemerkenswert durch „living-off-the-land“ (LoTL)-Verhalten, den Einsatz legitimer Admin-Tools und geräuscharme Persistenz – Taktiken, die reine Signaturkontrollen häufig umgehen.

Was ist neu / was Microsoft beobachtet hat

Microsoft Defender Research identifizierte mehrstufige Intrusions, die von exponierten WHD-Servern ausgingen:

• Initial access über WHD-Exploitation (RCE): Erfolgreiche Ausnutzung ermöglichte nicht authentifizierte Remote Code Execution im Anwendungskontext von WHD. Microsoft hat die konkret verwendete Schwachstelle nicht bestätigt, weist jedoch darauf hin, dass betroffene Systeme anfällig für CVE-2025-40551, CVE-2025-40536 und CVE-2025-26399 waren.
• Payload-Delivery mit integrierten Tools: Nach der Kompromittierung startete der WHD-Dienst PowerShell und nutzte BITS, um Payloads herunterzuladen und auszuführen.
• Legitimes RMM zur Steuerung verwendet: In mehreren Fällen installierten Angreifer Komponenten von Zoho ManageEngine (RMM) (z. B. Artefakte wie ToolsIQ.exe), um interaktiven Zugriff zu erhalten.
• Credential access und Privilege Escalation:
  • Domänenbenutzer-/Gruppenaufklärung einschließlich Domain Admins.
  • DLL sideloading über wab.exe, das eine bösartige sspicli.dll lädt, wodurch LSASS-Zugriff und unauffälligere Credential-Theft ermöglicht wird.
  • Mindestens ein Vorfall entwickelte sich zu DCSync, was auf Credential access mit hohen Privilegien hinweist.
• Persistenz und Evasion:
  • Reverse SSH- und RDP-Zugriff.
  • Eine besonders unauffällige Technik: ein scheduled task, der beim Start QEMU unter SYSTEM ausführt und Aktivitäten effektiv in einer VM verbirgt, während SSH über einen Host-Port weitergeleitet wird.

Auswirkungen auf IT-Admins und Endanwender

• Admins: Jede öffentlich erreichbare WHD-Instanz sollte als potenzieller Einstiegspunkt für eine domänenweite Kompromittierung betrachtet werden. Da Angreifer in administratives Verhalten „untertauchen“ (PowerShell/BITS/RDP/SSH), ist verhaltensbasierte Überwachung über Endpoint-, Identity- und Network-Signale hinweg essenziell.
• Endanwender: Nachgelagerte Auswirkungen können Account Takeover, Password Theft, Service Disruption sowie ein erhöhtes Risiko für Ransomware oder Data Theft umfassen, sobald Domänenkontrolle erreicht ist.

Empfohlene Maßnahmen / nächste Schritte

1. Sofort patchen und Exponierung reduzieren
   • Updates einspielen, die CVE-2025-40551, CVE-2025-40536 und CVE-2025-26399 adressieren.
   • Öffentliche Exponierung nach Möglichkeit entfernen, Admin-Pfade einschränken und Logging erhöhen (einschließlich WHD-Komponenten wie dem Ajax Proxy).
2. Nach Post-Exploitation-Indikatoren suchen
   • Microsoft Defender Vulnerability Management (MDVM) verwenden, um anfällige WHD-Server zu identifizieren.
   • In Defender XDR Advanced Hunting nach verdächtigen Prozessketten suchen, die von WHD ausgehen (z. B. wrapper.exe, das PowerShell/BITS startet), sowie nach ManageEngine/RMM-Artefakten, die nach dem vermuteten Kompromittierungszeitfenster hinzugefügt wurden.
3. Nicht autorisierte Remote-Tools entfernen
   • Unerwartete ManageEngine RMM-Komponenten identifizieren und entfernen sowie untersuchen, wie sie ausgerollt wurden.
4. Eindämmen und Wiederherstellen
   • Verdächtige Hosts isolieren und Credentials rotieren, beginnend mit Service Accounts und Admins, die von WHD aus erreichbar sind.
   • Auf Signale einer Identity-Kompromittierung (pass-the-hash/over-pass-the-hash) und DCSync-Indikatoren untersuchen.

Microsoft weist darauf hin, dass die Analyse fortgesetzt wird; Defender sollten von anhaltender aktiver Ausnutzung ausgehen und Internet-facing Application Hygiene sowie mehrschichtige Detection priorisieren.