Criminosos estão usando uma vulnerabilidade no SharePoint, da Microsoft, para obter acesso inicial às redes corporativas, obtendo acesso não autorizado.
O SharePoint é amplamente utilizado por empresas de todos os tamanhos para gerir dados, colaborar em projetos e armazenar documentos críticos. A presença de uma vulnerabilidade de execução remota de código (RCE) na plataforma representa uma ameaça significativa à segurança organizacional.
A correção da vulnerabilidade foi publicada em 9 de julho passado – mas a informação tem sido usada pelos hackers justamente para atacar as empresas que não fizeram a correção.
Na ocasião, a Microsoft lançou uma atualização como parte do seu pacote Patch Tuesday de julho, abordando essa vulnerabilidade, identificada como CVE-2024-38094. A falha de segurança foi classificada como “importante” pela empresa.
Vulnerabilidade permite acesso remoto
A vulnerabilidade CVE-2024-38094 permite que um atacante remoto não autenticado execute código arbitrário no contexto do serviço SharePoint, comprometendo potencialmente servidores inteiros e ganhando acesso a informações sensíveis.
Com isso, o criminoso pode ter controle total do sistema afetado, permitindo que os invasores instalem programas, vejam, alterem e excluam dados ou criem novas contas com direitos de usuário completos.
A divulgação pública da CVE-2024-38094 inclui detalhes técnicos limitados, mas suficientes para indicar os mecanismos gerais pelos quais a vulnerabilidade poderia ser explorada. Em termos gerais, a vulnerabilidade reside na forma como o software SharePoint lida com determinados tipos de dados. Quando processados de maneira inadequada, esses dados podem ser manipulados para desencadear a execução de código malicioso.
Um relatório da empresa Rapid7 apontou que os invasores usam o CVE-2024-38094 para obter acesso não autorizado a um servidor SharePoint vulnerável e executar um webshell. A investigação revelou que o servidor foi explorado usando um exploit de prova de conceito do SharePoint divulgado publicamente.
Usando o acesso inicial, o invasor comprometeu uma conta de serviço do Microsoft Exchange com privilégios de administrador de domínio, obtendo acesso elevado.
O invasor então instalou o Horoung Antivirus, o que causou um conflito que desabilitou a segurança, e enfraqueceu a detecção, permitindo que ele instalasse o Impacket, uma coleção de scripts de rede de código aberto.
Especificamente, o invasor usou um script em lote (“hrsword install.bat”) para instalar o Huorong Antivirus no sistema, configurar um serviço personalizado (“sysdiag”), executar o driver (“sysdiag_win10.sys”) e executar “HRSword.exe” usando um script VBS.
Essa configuração causou vários conflitos na alocação de recursos, drivers carregados e serviços ativos, fazendo com que os serviços antivírus legítimos da empresa travassem.
Na próxima etapa, o invasor usou a ferramenta Mimikatz para coletar credenciais e Fast Reverse Proxy (FRP) para acesso remoto através do firewall. Para evitar a detecção, o Windows Defender foi desabilitado, logs de eventos foram alterados e logs de sistema em sistemas comprometidos foram manipulados.
Ferramentas adicionais como everything.exe, Certify.exe e Kerbrute foram usadas para escanear a rede e gerar certificados ADFS e afetar o ambiente do Active Directory.
