SolarWinds Web Help Desk RCE: Microsoft ostrzega

Wprowadzenie: dlaczego to ma znaczenie

Narzędzia biznesowe wystawione do internetu pozostają celem o wysokiej wartości, a Microsoft zaobserwował rzeczywiste ataki, w których przejęcie pojedynczej instancji SolarWinds Web Help Desk (WHD) stało się przyczółkiem do szerszego przejęcia domeny. Kampania wyróżnia się zachowaniem „living-off-the-land” (LoTL), wykorzystaniem legalnych narzędzi administracyjnych oraz niskoszumową persystencją — taktykami, które często omijają mechanizmy oparte wyłącznie na sygnaturach.

Co nowego / co zaobserwował Microsoft

Microsoft Defender Research zidentyfikował wieloetapowe włamania rozpoczynające się od wystawionych serwerów WHD:

• Dostęp początkowy przez wykorzystanie WHD (RCE): Skuteczne wykorzystanie umożliwiało nieuwierzytelnione zdalne wykonanie kodu w kontekście aplikacji WHD. Microsoft nie potwierdził konkretnej podatności, ale wskazuje, że dotknięte systemy były podatne na CVE-2025-40551, CVE-2025-40536 oraz CVE-2025-26399.
• Dostarczenie ładunku przy użyciu narzędzi wbudowanych: Po kompromitacji usługa WHD uruchamiała PowerShell i wykorzystywała BITS do pobrania oraz uruchomienia ładunków.
• Legalny RMM do kontroli: W kilku przypadkach atakujący instalowali komponenty Zoho ManageEngine (RMM) (np. artefakty takie jak ToolsIQ.exe), aby uzyskać interaktywny dostęp.
• Dostęp do poświadczeń i eskalacja uprawnień:
  • Enumeracja użytkowników/grup domenowych, w tym Domain Admins.
  • DLL sideloading poprzez wab.exe ładujący złośliwy sspicli.dll, co umożliwiało dostęp do LSASS i bardziej dyskretną kradzież poświadczeń.
  • Co najmniej jeden incydent przeszedł do DCSync, co wskazuje na dostęp do poświadczeń o wysokich uprawnieniach.
• Persystencja i unikanie wykrycia:
  • Dostęp przez odwrócony SSH i RDP.
  • Szczególnie dyskretna technika: zaplanowane zadanie uruchamiające QEMU jako SYSTEM przy starcie, co w praktyce ukrywało aktywność w VM, jednocześnie tunelując SSH przez port hosta.

Wpływ na administratorów IT i użytkowników końcowych

• Administratorzy: Każdą publicznie dostępną instancję WHD należy traktować jako potencjalny punkt wejścia do kompromitacji całej domeny. Ponieważ atakujący zlewają się z aktywnością administracyjną (PowerShell/BITS/RDP/SSH), kluczowe jest monitorowanie oparte na zachowaniu w obszarach endpoint, tożsamości i sieci.
• Użytkownicy końcowi: Skutki wtórne mogą obejmować przejęcie kont, kradzież haseł, zakłócenia usług oraz szersze ryzyko ransomware lub kradzieży danych po uzyskaniu kontroli nad domeną.

Zalecane działania / kolejne kroki

1. Natychmiast załataj i ogranicz ekspozycję
   • Zastosuj aktualizacje usuwające CVE-2025-40551, CVE-2025-40536 oraz CVE-2025-26399.
   • Usuń publiczną ekspozycję tam, gdzie to możliwe, ogranicz ścieżki administracyjne i zwiększ poziom logowania (w tym dla komponentów WHD, takich jak Ajax Proxy).
2. Poluj na wskaźniki aktywności po włamaniu
   • Użyj Microsoft Defender Vulnerability Management (MDVM), aby zlokalizować podatne serwery WHD.
   • W Defender XDR Advanced Hunting szukaj podejrzanych łańcuchów procesów wychodzących z WHD (np. wrapper.exe uruchamiający PowerShell/BITS) oraz artefaktów ManageEngine/RMM dodanych po podejrzanym oknie kompromitacji.
3. Usuń nieautoryzowane narzędzia zdalnego dostępu
   • Zidentyfikuj i usuń nieoczekiwane komponenty ManageEngine RMM oraz zbadaj, jak zostały wdrożone.
4. Ogranicz skutki i odtwórz środowisko
   • Izoluj podejrzane hosty i zrotuj poświadczenia, zaczynając od kont usługowych i administratorów osiągalnych z WHD.
   • Zbadaj sygnały kompromitacji tożsamości (pass-the-hash/over-pass-the-hash) oraz wskaźniki DCSync.

Microsoft podkreśla, że analiza nadal trwa; zespoły obrony powinny zakładać, że aktywne wykorzystywanie nadal ma miejsce, oraz priorytetyzować higienę aplikacji wystawionych do internetu i wielowarstwową detekcję.