SolarWinds Web Help Desk RCE actief misbruikt

Introductie: waarom dit belangrijk is

Internet-exposed line-of-business tools blijven een high-value target, en Microsoft heeft real-world aanvallen waargenomen waarbij het compromitteren van één SolarWinds Web Help Desk (WHD)-instance een opstap werd naar bredere domeincompromittering. De campagne valt op door “living-off-the-land” (LoTL)-gedrag, het gebruik van legitieme admin tooling en low-noise persistence—tactieken die vaak signature-only controls omzeilen.

Wat is nieuw / wat Microsoft observeerde

Microsoft Defender Research identificeerde multi-stage intrusions die starten vanaf exposed WHD-servers:

• Initial access via WHD-exploitatie (RCE): Succesvolle exploitatie maakte unauthenticated remote code execution mogelijk in de WHD-application context. Microsoft heeft de specifieke gebruikte kwetsbaarheid niet bevestigd, maar merkt op dat getroffen systemen kwetsbaar waren voor CVE-2025-40551, CVE-2025-40536 en CVE-2025-26399.
• Payload delivery met ingebouwde tools: Na compromittering startte de WHD-service PowerShell en gebruikte BITS om payloads te downloaden en uit te voeren.
• Legitieme RMM gebruikt voor controle: In meerdere gevallen installeerden aanvallers componenten van Zoho ManageEngine (RMM) (bijv. artifacts zoals ToolsIQ.exe) om interactieve toegang te krijgen.
• Credential access en privilege escalation:
  • Enumeratie van domain users/groups inclusief Domain Admins.
  • DLL sideloading via wab.exe die een kwaadaardige sspicli.dll laadt, waardoor LSASS access en stealthier credential theft mogelijk wordt.
  • Minstens één incident escaleerde naar DCSync, wat wijst op high-privilege credential access.
• Persistence en evasion:
  • Reverse SSH- en RDP-toegang.
  • Een bijzonder stealthy techniek: een scheduled task die QEMU onder SYSTEM bij startup start, waarmee activiteit effectief in een VM wordt verborgen terwijl SSH via een host-port wordt geforward.

Impact op IT-admins en eindgebruikers

• Admins: Elke publiek bereikbare WHD-instance moet worden behandeld als een potentieel entry point naar domain-wide compromise. Omdat aanvallers opgaan in administratieve activiteit (PowerShell/BITS/RDP/SSH), is behavior-based monitoring over endpoint, identity en network essentieel.
• Eindgebruikers: De downstream impact kan bestaan uit account takeover, password theft, service disruption en een breder risico op ransomware of data theft zodra domeincontrole is bereikt.

Aanbevolen acties / volgende stappen

1. Patch en reduceer exposure onmiddellijk
   • Pas updates toe die CVE-2025-40551, CVE-2025-40536 en CVE-2025-26399 adresseren.
   • Verwijder public exposure waar mogelijk, beperk admin paths en verhoog logging (inclusief WHD-componenten zoals de Ajax Proxy).
2. Hunt op post-exploitation indicators
   • Gebruik Microsoft Defender Vulnerability Management (MDVM) om kwetsbare WHD-servers te vinden.
   • Zoek in Defender XDR Advanced Hunting naar suspicious process chains die vanuit WHD ontstaan (bijv. wrapper.exe die PowerShell/BITS start), en naar ManageEngine/RMM-artifacts die na het vermoedelijke compromise window zijn toegevoegd.
3. Verwijder unauthorized remote tooling
   • Identificeer en verwijder onverwachte ManageEngine RMM-componenten en onderzoek hoe deze zijn gedeployed.
4. Contain en herstel
   • Isoleer verdachte hosts en rotate credentials, te beginnen met service accounts en admins die vanaf WHD bereikbaar zijn.
   • Onderzoek op identity compromise signals (pass-the-hash/over-pass-the-hash) en DCSync-indicatoren.

Microsoft merkt op dat de analyse nog loopt; defenders moeten ervan uitgaan dat actieve exploitatie doorgaat en prioriteit geven aan internet-facing application hygiene en layered detection.