SolarWinds Web Help Desk RCE: aktiv utnyttelse

Innledning: hvorfor dette betyr noe

Forretningskritiske line-of-business-verktøy som er eksponert mot internett, er fortsatt et høyverdimål, og Microsoft har observert reelle angrep der kompromittering av én SolarWinds Web Help Desk (WHD)-instans ble et springbrett til bredere domene-kompromittering. Kampanjen er bemerkelsesverdig for “living-off-the-land” (LoTL)-atferd, bruk av legitime admin-verktøy og persistens med lavt støynivå—taktikker som ofte unngår kontroller basert kun på signaturer.

Hva er nytt / hva Microsoft observerte

Microsoft Defender Research identifiserte flertrinns inntrengninger som startet fra eksponerte WHD-servere:

• Initial access via WHD-utnyttelse (RCE): Vellykket utnyttelse muliggjorde uautentisert remote code execution i WHD-applikasjonskonteksten. Microsoft har ikke bekreftet den spesifikke sårbarheten som ble brukt, men bemerker at berørte systemer var sårbare for CVE-2025-40551, CVE-2025-40536 og CVE-2025-26399.
• Payload-levering med innebygde verktøy: Etter kompromittering startet WHD-tjenesten PowerShell og brukte BITS til å laste ned og kjøre payloads.
• Legitim RMM brukt for kontroll: I flere tilfeller installerte angripere komponenter av Zoho ManageEngine (RMM) (f.eks. artefakter som ToolsIQ.exe) for å få interaktiv tilgang.
• Credential access og privilege escalation:
  • Enumerering av domene-brukere/grupper, inkludert Domain Admins.
  • DLL sideloading via wab.exe som lastet en ondsinnet sspicli.dll, muliggjorde LSASS-tilgang og mer skjult credential theft.
  • Minst én hendelse utviklet seg til DCSync, noe som indikerer credential access med høy privilegiering.
• Persistens og evasion:
  • Reverse SSH- og RDP-tilgang.
  • En spesielt snikende teknikk: en scheduled task som startet QEMU under SYSTEM ved oppstart, som effektivt skjulte aktivitet i en VM samtidig som SSH ble videresendt over en host-port.

Konsekvens for IT-admins og sluttbrukere

• Admins: Enhver WHD-instans som er offentlig tilgjengelig, bør behandles som et potensielt inngangspunkt til domeneomfattende kompromittering. Fordi angripere blander seg inn i administrativ aktivitet (PowerShell/BITS/RDP/SSH), er atferdsbasert overvåking på tvers av endpoint, identity og network avgjørende.
• Sluttbrukere: Nedstrømseffekten kan omfatte konto-overtakelse, passordtyveri, tjenesteavbrudd og økt risiko for ransomware eller datatyveri når domain control er oppnådd.

Anbefalte tiltak / neste steg

1. Patch og reduser eksponering umiddelbart
   • Installer oppdateringer som adresserer CVE-2025-40551, CVE-2025-40536 og CVE-2025-26399.
   • Fjern offentlig eksponering der det er mulig, begrens admin-stier, og øk logging (inkludert WHD-komponenter som Ajax Proxy).
2. Jakt etter post-exploitation-indikatorer
   • Bruk Microsoft Defender Vulnerability Management (MDVM) for å finne sårbare WHD-servere.
   • I Defender XDR Advanced Hunting, se etter mistenkelige prosesskjeder som starter fra WHD (f.eks. wrapper.exe som starter PowerShell/BITS), og etter ManageEngine/RMM-artefakter lagt til etter det antatte kompromitteringsvinduet.
3. Fjern uautorisert remote tooling
   • Identifiser og fjern uventede ManageEngine RMM-komponenter, og undersøk hvordan de ble distribuert.
4. Begrens skade og gjenopprett
   • Isoler mistenkte verter og roter credentials, med start i service accounts og admins som er tilgjengelige fra WHD.
   • Undersøk signaler på identity compromise (pass-the-hash/over-pass-the-hash) og DCSync-indikatorer.

Microsoft bemerker at analysen pågår; forsvarere bør anta at aktiv utnyttelse fortsetter og prioritere hygiene for internett-eksponerte applikasjoner og lagdelt deteksjon.