Компанія Microsoft попередила про збільшення кількості кібератак з використанням web-оболонок. У порівнянні з минулим роком середньомісячна кількість виявлених на скомпрометованих серверах шкідливих web-оболонок подвоїлася.
«Як показують останні дані Microsoft 365 Defender, ця тенденція не тільки продовжилася, але і посилилася: кожен місяць з серпня 2020 року по січень 2021 роки ми реєстрували в середньому 140 тис. Виявлень цих загроз на серверах», – повідомила Microsoft.
Згідно зі звітом Microsoft Defender Advanced Threat Protection (ATP) за минулий рік, за даними, зібраними з 46 тис. Окремих пристроїв, середнє число виявлених на зламаних серверах web-оболонок становило 77 тис. в місяць.
Зростання кількості кібератак з застосуванням web-оболонок Microsoft пояснює тим, що вони дуже прості у використанні і ефективні. Зазвичай web-оболонка являє собою невеликий фрагмент шкідливого коду, написаний на типових мовах програмування для web-розробки (наприклад, ASP, PHP, JSP). Кіберзлочинці впроваджують їх на web-сервери, тим самим забезпечуючи собі дистанційно отримувати доступ до серверів для подальшого виконання коду.
Web-оболонки дозволяють зловмисникам запускати команди на серверах для крадіжки даних або використовувати сервер як стартовий майданчик для інших дій, таких як бічне переміщення, розгортання додаткових корисних навантажень або дії з клавіатурою.
Зловмисники встановлюють web-оболонки на сервери шляхом експлуатації вразливостей в web-додатках і підключених до інтернету серверах. У пошуках уразливих установок вони сканують інтернет за допомогою загальнодоступних інструментів, таких як shodan.io. Найчастіше зловмисники експлуатують вже виправлені вендором уразливості, які, на жаль, не були виправлені системними адміністраторами.
Після установки на сервер web-оболонки служать одним з найбільш ефективних засобів збереження персистентності в атакованих корпоративних мережах.
«Ми часто спостерігаємо випадки, коли web-оболонки використовуються виключно як механізм збереження персистентності. Web-оболонки забезпечують бекдор в скомпрометованій мережі, оскільки після отримання початкового доступу до сервера зловмисник залишає на ньому шкідливий імплант. Якщо його не виявити, web-оболонки надають зловмисникові можливість продовжувати збирати дані і монетизувати мережі, до яких у них є доступ ». – повідомляє Microsoft.
