SolarWinds Web Help Desk: RCE activa y riesgo DCSync

Introducción: por qué esto importa

Las herramientas line-of-business expuestas a Internet siguen siendo un objetivo de alto valor, y Microsoft ha observado ataques reales en los que comprometer una única instancia de SolarWinds Web Help Desk (WHD) se convirtió en un trampolín hacia un compromiso más amplio del dominio. La campaña destaca por comportamiento “living-off-the-land” (LoTL), uso de herramientas administrativas legítimas y persistencia de bajo ruido, tácticas que a menudo evaden controles basados solo en firmas.

Qué hay de nuevo / qué observó Microsoft

Microsoft Defender Research identificó intrusiones de varias etapas que comenzaron desde servidores WHD expuestos:

• Acceso inicial mediante explotación de WHD (RCE): La explotación exitosa habilitó ejecución remota de código sin autenticación en el contexto de la aplicación WHD. Microsoft no ha confirmado la vulnerabilidad específica utilizada, pero señala que los sistemas afectados eran vulnerables a CVE-2025-40551, CVE-2025-40536 y CVE-2025-26399.
• Entrega de payload usando herramientas integradas: Tras el compromiso, el servicio WHD generó PowerShell y usó BITS para descargar y ejecutar payloads.
• RMM legítimo usado para control: En varios casos, los atacantes instalaron componentes de Zoho ManageEngine (RMM) (por ejemplo, artefactos como ToolsIQ.exe) para obtener acceso interactivo.
• Acceso a credenciales y escalada de privilegios:
  • Enumeración de usuarios/grupos del dominio, incluidos Domain Admins.
  • DLL sideloading mediante wab.exe cargando un sspicli.dll malicioso, habilitando acceso a LSASS y un robo de credenciales más sigiloso.
  • Al menos un incidente avanzó a DCSync, lo que indica acceso a credenciales de alto privilegio.
• Persistencia y evasión:
  • Acceso inverso por SSH y RDP.
  • Una técnica especialmente sigilosa: una tarea programada que inicia QEMU bajo SYSTEM al arranque, ocultando efectivamente la actividad en una VM mientras reenvía SSH a través de un puerto del host.

Impacto en admins de IT y usuarios finales

• Admins: Cualquier instancia de WHD accesible públicamente debe tratarse como un posible punto de entrada a un compromiso a nivel de dominio. Debido a que los atacantes se mezclan con la actividad administrativa (PowerShell/BITS/RDP/SSH), es esencial la supervisión basada en comportamiento en endpoint, identidad y red.
• Usuarios finales: El impacto posterior puede incluir toma de cuentas, robo de contraseñas, interrupción del servicio y un mayor riesgo de ransomware o robo de datos una vez que se logra el control del dominio.

Acciones recomendadas / próximos pasos

1. Aplicar parches y reducir la exposición de inmediato
   • Aplicar actualizaciones que aborden CVE-2025-40551, CVE-2025-40536 y CVE-2025-26399.
   • Eliminar la exposición pública cuando sea posible, restringir rutas administrativas y aumentar el logging (incluidos componentes de WHD como el Ajax Proxy).
2. Hacer hunting de indicadores posteriores a la explotación
   • Usar Microsoft Defender Vulnerability Management (MDVM) para localizar servidores WHD vulnerables.
   • En Defender XDR Advanced Hunting, buscar cadenas de procesos sospechosas que se originen en WHD (por ejemplo, wrapper.exe generando PowerShell/BITS) y artefactos de ManageEngine/RMM agregados después de la ventana de compromiso sospechada.
3. Expulsar herramientas remotas no autorizadas
   • Identificar y eliminar componentes inesperados de ManageEngine RMM e investigar cómo se implementaron.
4. Contener y recuperar
   • Aislar los hosts sospechosos y rotar credenciales comenzando por cuentas de servicio y admins accesibles desde WHD.
   • Investigar señales de compromiso de identidad (pass-the-hash/over-pass-the-hash) e indicadores de DCSync.

Microsoft señala que el análisis continúa; los defensores deben asumir que la explotación activa continúa y priorizar la higiene de aplicaciones expuestas a Internet y la detección por capas.