SolarWinds WHD sotto attacco: RCE e compromissione AD

Introduzione: perché è importante

Gli strumenti line-of-business esposti su internet restano un obiettivo ad alto valore e Microsoft ha osservato attacchi reali in cui la compromissione di una singola istanza di SolarWinds Web Help Desk (WHD) è diventata un trampolino di lancio verso una compromissione più ampia del dominio. La campagna si distingue per comportamento “living-off-the-land” (LoTL), uso di strumenti amministrativi legittimi e persistenza a basso rumore—tattiche che spesso eludono i controlli basati solo su firme.

Cosa c’è di nuovo / cosa ha osservato Microsoft

Microsoft Defender Research ha identificato intrusioni multi-stage che partono da server WHD esposti:

• Accesso iniziale tramite sfruttamento di WHD (RCE): Lo sfruttamento riuscito ha consentito esecuzione di codice remoto non autenticata nel contesto dell’applicazione WHD. Microsoft non ha confermato la vulnerabilità specifica utilizzata, ma nota che i sistemi interessati erano vulnerabili a CVE-2025-40551, CVE-2025-40536 e CVE-2025-26399.
• Distribuzione del payload con strumenti integrati: Dopo la compromissione, il servizio WHD ha avviato PowerShell e ha usato BITS per scaricare ed eseguire i payload.
• Uso di RMM legittimo per il controllo: In diversi casi, gli attaccanti hanno installato componenti di Zoho ManageEngine (RMM) (ad esempio, artefatti come ToolsIQ.exe) per ottenere accesso interattivo.
• Accesso alle credenziali ed escalation dei privilegi:
  • Enumerazione di utenti/gruppi di dominio inclusi i Domain Admins.
  • DLL sideloading tramite wab.exe che carica una sspicli.dll malevola, abilitando l’accesso a LSASS e un furto di credenziali più stealth.
  • Almeno un incidente è avanzato fino a DCSync, indicando accesso a credenziali con privilegi elevati.
• Persistenza ed evasione:
  • Accesso reverse SSH e RDP.
  • Una tecnica particolarmente stealth: una scheduled task che avvia QEMU come SYSTEM all’avvio, nascondendo di fatto l’attività in una VM mentre inoltra SSH su una porta dell’host.

Impatto su amministratori IT e utenti finali

• Admin: Qualsiasi istanza WHD raggiungibile pubblicamente dovrebbe essere trattata come un potenziale punto di ingresso verso una compromissione dell’intero dominio. Poiché gli attaccanti si confondono con l’attività amministrativa (PowerShell/BITS/RDP/SSH), è essenziale un monitoraggio basato sul comportamento su endpoint, identità e rete.
• Utenti finali: L’impatto a valle può includere takeover degli account, furto di password, interruzioni di servizio e un rischio più ampio di ransomware o furto dati una volta ottenuto il controllo del dominio.

Azioni consigliate / prossimi passi

1. Applicare le patch e ridurre immediatamente l’esposizione
   • Applicare gli aggiornamenti che risolvono CVE-2025-40551, CVE-2025-40536 e CVE-2025-26399.
   • Rimuovere l’esposizione pubblica dove possibile, limitare i percorsi amministrativi e aumentare il logging (inclusi componenti WHD come l’Ajax Proxy).
2. Hunting di indicatori post-exploitation
   • Usare Microsoft Defender Vulnerability Management (MDVM) per individuare i server WHD vulnerabili.
   • In Defender XDR Advanced Hunting, cercare catene di processi sospette originate da WHD (ad esempio wrapper.exe che avvia PowerShell/BITS) e artefatti ManageEngine/RMM aggiunti dopo la finestra di compromissione sospetta.
3. Rimuovere tooling remoto non autorizzato
   • Identificare e rimuovere componenti ManageEngine RMM inattesi e verificare come sono stati distribuiti.
4. Contenere e ripristinare
   • Isolare gli host sospetti e ruotare le credenziali iniziando dagli account di servizio e dagli admin raggiungibili da WHD.
   • Indagare segnali di compromissione dell’identità (pass-the-hash/over-pass-the-hash) e indicatori di DCSync.

Microsoft nota che l’analisi è in corso; i difensori dovrebbero assumere che lo sfruttamento attivo continui e dare priorità all’igiene delle applicazioni esposte su internet e al rilevamento multilivello.