Pozor na malware ukrytý v e-mailu! Umí krást hesla, ale i další data
- Byl nalezen nebezpečný malware v Microsoft Exchange Serveru
- Umí ukrást přihlašovací údaje při logování do aplikace
- Zatím řádí hlavně v Asii, ale pravděpodobně má oběti i v Evropě
Nález tohoto nebezpečného modulu má na svědomí společnost Kaspersky
O nález tohoto doplňku se postarala společnost Kaspersky. Nazvala ho Owowa a je velmi nebezpečný, protože umí nejenom ukrást údaje v průběhu přihlašování do aplikace Outlook Web Access, útočníkům umožňuje také získat přístup ke vzdálenému ovládání základního serveru. Navíc je velmi odolný, takže se může v zařízení ukrývat po dlouhou dobu.
Malware skrytý v e-mailovém klientu
Útočníci využívali v roce 2021 zranitelnosti Microsoft Exchange Serveru stále častěji a na povrch se dostaly hned čtyři jeho kritické chyby. Například v březnu se povedlo hackerům získat přístup ke všem registrovaným e-mailovým účtům a spustit libovolný kód.
Nyní narazili specialisté společnosti Kaspersky na další škodlivý modul, který útočníkům umožňuje získat přihlašovací údaje pro Outlook Web Access a získat kontrolu nad vzdáleným přístupem k základnímu serveru. Tento nebezpečený modul získal jméno Owowa.
Existuje již od roku 2020
Owowa se vyznačuje tím, že jeho funkce lze spustit odesláním zdánlivě neškodného požadavku – v tomto případě požadavku na ověření OWA (Outlook Web Access). Modul byl sestaven mezi koncem roku 2020 a dubnem 2021 a prozatím se zaměřuje výhradně na Asii.
Hackeři jím míří na cíle v Malajsii, Mongolsku, Indonésii a na Filipínách, většina obětí byla napojena na vládní organizace a další na státní dopravní podnik. Je ale velmi pravděpodobné, že další oběti jsou také v Evropě.
Čtěte také: IKEA, Tesco nebo Amazon lákají na výhru. Dejte pozor, jde o podvod a okradou vás!
Modul Owowa řádí hlavně v Asii, ale oběti má pravděpodobně i v Evropě
Pasivní krádež dat
Společnosti Kaspersky se prozatím nepovedlo přiřadit tento modul k žádnému známému aktérovi podobných hrozeb. Je spojen s uživatelským jménem S3crt, které využívá vývojář stojící za několika dalšími škodlivými binárními zavaděči. Slovo S3crt je ale jednoduchou odvozeninou z anglického slova secret a mohlo by ho klidně používat víc osob.
Nebezpečnost modulu Owowa spočívá v tom, že ho útočník může použít k pasivní krádeži přihlašovacích údajů uživatelů, kteří normálně přistupují k webovým službám. To je mnohem skrytější a hůře odhalitelný způsob než klasické rozesílání phishingových mailů. K odhalení sice lze využít nástroje pro konfiguraci IIS, ty se však obvykle pro monitorování souborů a sítí nevyužívají, takže můžou Owowa snadno přehlédnout.
A nepomůže ani aktualizace – Owowa zůstává v systému i poté, co se server Microsoft Exchange aktualizuje. Je tedy důležité, aby firmy všechny jeho modulu sledovaly a všechny spuštěné moduly by se měly raději považovat za potenciálně nebezpečné a pravidelně procházet kontrolou.
Jak zabezpečit vaši organizaci před touto hrozbou?
- Pravidelně kontrolujte načtené moduly IIS na exponovaných serverech IIS (zejména na serverech Exchange) pomocí stávající sady nástrojů pro IIS
- Zaměřte svoji obrannou strategii na detekci metody „lateral movement“ (postupného pronikání útočníka do sítě přes jedno ovládnuté zařízení a získávání kontroly nad dalšími zařízeními) a na exfiltraci svých dat na internet
- Používejte řešení, jako jsou Kaspersky Endpoint Detection and Response a služba Kaspersky Managed Detection and Response, která pomáhají identifikovat a zastavit útok už v počátečních fázích, než útočníci dosáhnou svého cíle
- Používejte spolehlivé řešení k zabezpečení koncových bodů, jako je Kaspersky Endpoint Security for Business (KESB), které je vybaveno prevencí zneužití, detekcí chování a mechanismem pro obnovu provozu narušeného záškodnickými akcemi.
Video
Související
Nepřehlédněte
Diskuze
Nejčtenější články
Pozor na malware ukrytý v e-mailu! Umí krást hesla, ale i další data
- Byl nalezen nebezpečný malware v Microsoft Exchange Serveru
- Umí ukrást přihlašovací údaje při logování do aplikace
- Zatím řádí hlavně v Asii, ale pravděpodobně má oběti i v Evropě
Nález tohoto nebezpečného modulu má na svědomí společnost Kaspersky
O nález tohoto doplňku se postarala společnost Kaspersky. Nazvala ho Owowa a je velmi nebezpečný, protože umí nejenom ukrást údaje v průběhu přihlašování do aplikace Outlook Web Access, útočníkům umožňuje také získat přístup ke vzdálenému ovládání základního serveru. Navíc je velmi odolný, takže se může v zařízení ukrývat po dlouhou dobu.
Malware skrytý v e-mailovém klientu
Útočníci využívali v roce 2021 zranitelnosti Microsoft Exchange Serveru stále častěji a na povrch se dostaly hned čtyři jeho kritické chyby. Například v březnu se povedlo hackerům získat přístup ke všem registrovaným e-mailovým účtům a spustit libovolný kód.
Nyní narazili specialisté společnosti Kaspersky na další škodlivý modul, který útočníkům umožňuje získat přihlašovací údaje pro Outlook Web Access a získat kontrolu nad vzdáleným přístupem k základnímu serveru. Tento nebezpečený modul získal jméno Owowa.
Existuje již od roku 2020
Owowa se vyznačuje tím, že jeho funkce lze spustit odesláním zdánlivě neškodného požadavku – v tomto případě požadavku na ověření OWA (Outlook Web Access). Modul byl sestaven mezi koncem roku 2020 a dubnem 2021 a prozatím se zaměřuje výhradně na Asii.
Hackeři jím míří na cíle v Malajsii, Mongolsku, Indonésii a na Filipínách, většina obětí byla napojena na vládní organizace a další na státní dopravní podnik. Je ale velmi pravděpodobné, že další oběti jsou také v Evropě.
Čtěte také: IKEA, Tesco nebo Amazon lákají na výhru. Dejte pozor, jde o podvod a okradou vás!
Modul Owowa řádí hlavně v Asii, ale oběti má pravděpodobně i v Evropě
Pasivní krádež dat
Společnosti Kaspersky se prozatím nepovedlo přiřadit tento modul k žádnému známému aktérovi podobných hrozeb. Je spojen s uživatelským jménem S3crt, které využívá vývojář stojící za několika dalšími škodlivými binárními zavaděči. Slovo S3crt je ale jednoduchou odvozeninou z anglického slova secret a mohlo by ho klidně používat víc osob.
Nebezpečnost modulu Owowa spočívá v tom, že ho útočník může použít k pasivní krádeži přihlašovacích údajů uživatelů, kteří normálně přistupují k webovým službám. To je mnohem skrytější a hůře odhalitelný způsob než klasické rozesílání phishingových mailů. K odhalení sice lze využít nástroje pro konfiguraci IIS, ty se však obvykle pro monitorování souborů a sítí nevyužívají, takže můžou Owowa snadno přehlédnout.
A nepomůže ani aktualizace – Owowa zůstává v systému i poté, co se server Microsoft Exchange aktualizuje. Je tedy důležité, aby firmy všechny jeho modulu sledovaly a všechny spuštěné moduly by se měly raději považovat za potenciálně nebezpečné a pravidelně procházet kontrolou.
Jak zabezpečit vaši organizaci před touto hrozbou?
- Pravidelně kontrolujte načtené moduly IIS na exponovaných serverech IIS (zejména na serverech Exchange) pomocí stávající sady nástrojů pro IIS
- Zaměřte svoji obrannou strategii na detekci metody „lateral movement“ (postupného pronikání útočníka do sítě přes jedno ovládnuté zařízení a získávání kontroly nad dalšími zařízeními) a na exfiltraci svých dat na internet
- Používejte řešení, jako jsou Kaspersky Endpoint Detection and Response a služba Kaspersky Managed Detection and Response, která pomáhají identifikovat a zastavit útok už v počátečních fázích, než útočníci dosáhnou svého cíle
- Používejte spolehlivé řešení k zabezpečení koncových bodů, jako je Kaspersky Endpoint Security for Business (KESB), které je vybaveno prevencí zneužití, detekcí chování a mechanismem pro obnovu provozu narušeného záškodnickými akcemi.
