SolarWinds Web Help Desk RCE: Microsoft о рисках

Введение: почему это важно

Доступные из интернета line-of-business-инструменты остаются высокоценной целью, и Microsoft наблюдала реальные атаки, в которых компрометация одного экземпляра SolarWinds Web Help Desk (WHD) становилась трамплином к более широкой компрометации домена. Кампания примечательна поведением “living-off-the-land” (LoTL), использованием легитимных администраторских инструментов и малошумной закрепляемостью — тактиками, которые часто обходят средства защиты, основанные только на сигнатурах.

Что нового / что наблюдала Microsoft

Microsoft Defender Research выявила многоэтапные вторжения, начинавшиеся с экспонированных WHD-серверов:

• Первичный доступ через эксплуатацию WHD (RCE): успешная эксплуатация обеспечивала неаутентифицированное удалённое выполнение кода в контексте приложения WHD. Microsoft не подтвердила конкретную использованную уязвимость, но отмечает, что затронутые системы были уязвимы к CVE-2025-40551, CVE-2025-40536 и CVE-2025-26399.
• Доставка нагрузки с использованием встроенных инструментов: после компрометации сервис WHD запускал PowerShell и использовал BITS для загрузки и выполнения полезной нагрузки.
• Для управления использовался легитимный RMM: в ряде случаев атакующие устанавливали компоненты Zoho ManageEngine (RMM) (например, артефакты вроде ToolsIQ.exe) для получения интерактивного доступа.
• Доступ к учётным данным и повышение привилегий:
  • Перечисление доменных пользователей/групп, включая Domain Admins.
  • DLL sideloading: wab.exe загружал вредоносный sspicli.dll, что обеспечивало доступ к LSASS и более скрытное похищение учётных данных.
  • Как минимум в одном инциденте злоумышленники дошли до DCSync, что указывает на доступ к учётным данным с высокими привилегиями.
• Закрепление и уклонение от обнаружения:
  • Реверсный доступ по SSH и RDP.
  • Особенно скрытная техника: запланированная задача, запускающая QEMU под SYSTEM при старте, фактически скрывая активность в VM и проксируя SSH через порт хоста.

Влияние на IT-администраторов и конечных пользователей

• Администраторы: любой публично доступный экземпляр WHD следует рассматривать как потенциальную точку входа к компрометации на уровне домена. Поскольку атакующие «растворяются» в администраторской активности (PowerShell/BITS/RDP/SSH), критично поведенческое мониторирование на уровнях endpoint, identity и сети.
• Конечные пользователи: вторичные последствия могут включать захват аккаунтов, кражу паролей, нарушения в работе сервисов, а также повышенный риск ransomware или кражи данных после получения контроля над доменом.

Рекомендуемые действия / дальнейшие шаги

1. Немедленно установить патчи и сократить внешнюю экспозицию
   • Применить обновления, устраняющие CVE-2025-40551, CVE-2025-40536 и CVE-2025-26399.
   • По возможности убрать публичную доступность, ограничить административные пути и усилить логирование (включая компоненты WHD, такие как Ajax Proxy).
2. Охотиться за индикаторами постэксплуатации
   • Использовать Microsoft Defender Vulnerability Management (MDVM) для поиска уязвимых WHD-серверов.
   • В Defender XDR Advanced Hunting искать подозрительные цепочки процессов, исходящие от WHD (например, wrapper.exe, порождающий PowerShell/BITS), а также артефакты ManageEngine/RMM, добавленные после предполагаемого окна компрометации.
3. Удалить несанкционированные средства удалённого управления
   • Выявить и удалить неожиданные компоненты ManageEngine RMM и расследовать, как они были развёрнуты.
4. Сдерживание и восстановление
   • Изолировать подозрительные хосты и выполнить ротацию учётных данных, начиная с service accounts и администраторов, достижимых с WHD.
   • Проверить сигналы компрометации identity (pass-the-hash/over-pass-the-hash) и индикаторы DCSync.

Microsoft отмечает, что анализ продолжается; защитникам следует исходить из того, что активная эксплуатация продолжается, и приоритизировать гигиену интернет-ориентированных приложений и многоуровневое обнаружение.