SolarWinds Web Help Desk RCE: aktivna eksploatacija

Uvod: zašto je ovo važno

Internet-izloženi line-of-business alati ostaju meta visoke vrednosti, a Microsoft je uočio napade u realnom svetu u kojima je kompromitovanje jedne SolarWinds Web Help Desk (WHD) instance poslužilo kao odskočna daska ka širem kompromitovanju domena. Kampanja je značajna po “living-off-the-land” (LoTL) ponašanju, korišćenju legitimnih administratorskih alata i postojanosti sa malo buke — taktikama koje često izmiču kontrolama zasnovanim isključivo na potpisima.

Šta je novo / šta je Microsoft uočio

Microsoft Defender Research je identifikovao višefazne upade koji su započinjali sa izloženih WHD servera:

• Početni pristup putem WHD eksploatacije (RCE): Uspešna eksploatacija je omogućila neautentifikovano izvršavanje koda na daljinu u kontekstu WHD aplikacije. Microsoft nije potvrdio specifičnu ranjivost koja je korišćena, ali navodi da su pogođeni sistemi bili ranjivi na CVE-2025-40551, CVE-2025-40536 i CVE-2025-26399.
• Isporuka payload-a korišćenjem ugrađenih alata: Nakon kompromitovanja, WHD servis je pokretao PowerShell i koristio BITS za preuzimanje i izvršavanje payload-a.
• Legitimni RMM korišćen za kontrolu: U nekoliko slučajeva, napadači su instalirali komponente Zoho ManageEngine (RMM) (npr. artefakte poput ToolsIQ.exe) radi interaktivnog pristupa.
• Pristup kredencijalima i eskalacija privilegija:
  • Enumeracija domen korisnika/grupa, uključujući Domain Admins.
  • DLL sideloading preko wab.exe koji učitava zlonamerni sspicli.dll, omogućavajući pristup LSASS-u i prikriveniju krađu kredencijala.
  • Najmanje jedan incident je napredovao do DCSync, što ukazuje na pristup kredencijalima visokog nivoa privilegija.
• Postojanost i izbegavanje detekcije:
  • Reverzni SSH i RDP pristup.
  • Posebno prikrivena tehnika: scheduled task koji pri startu pokreće QEMU pod SYSTEM nalogom, efektivno skrivajući aktivnost u VM-u uz prosleđivanje SSH-a preko porta na hostu.

Uticaj na IT administratore i krajnje korisnike

• Administratori: Svaka javno dostupna WHD instanca treba da se tretira kao potencijalna ulazna tačka ka kompromitovanju celog domena. Pošto se napadači stapaju sa administratorskom aktivnošću (PowerShell/BITS/RDP/SSH), ključno je praćenje zasnovano na ponašanju kroz endpoint, identitet i mrežu.
• Krajnji korisnici: Nizvodni uticaj može uključiti preuzimanje naloga, krađu lozinki, prekid usluga i širi rizik od ransomware-a ili krađe podataka nakon sticanja kontrole nad domenom.

Preporučene radnje / sledeći koraci

1. Odmah primenite zakrpe i smanjite izloženost
   • Primijenite ažuriranja koja adresiraju CVE-2025-40551, CVE-2025-40536 i CVE-2025-26399.
   • Uklonite javnu izloženost gde je moguće, ograničite administrativne putanje i povećajte logovanje (uključujući WHD komponente kao što je Ajax Proxy).
2. Tragajte za indikatorima aktivnosti nakon kompromitovanja
   • Koristite Microsoft Defender Vulnerability Management (MDVM) da locirate ranjive WHD servere.
   • U Defender XDR Advanced Hunting potražite sumnjive lance procesa koji potiču iz WHD-a (npr. wrapper.exe koji pokreće PowerShell/BITS), kao i ManageEngine/RMM artefakte dodate nakon sumnjivog prozora kompromitovanja.
3. Uklonite neovlašćene alate za udaljeni pristup
   • Identifikujte i uklonite neočekivane komponente ManageEngine RMM i istražite kako su distribuirane.
4. Obuzdajte incident i oporavite se
   • Izolujte sumnjive hostove i rotirajte kredencijale, počev od servisnih naloga i administratora dostupnih iz WHD-a.
   • Istražite signale kompromitovanja identiteta (pass-the-hash/over-pass-the-hash) i indikatore DCSync.

Microsoft navodi da je analiza u toku; branioci treba da pretpostave da se aktivna eksploatacija nastavlja i da daju prioritet higijeni internet-izloženih aplikacija i slojevitom otkrivanju.