資安威脅趨勢 - 駭客組織Lace Tempest鎖定SysAid零時差漏洞
駭客組織Lace Tempest鎖定SysAid零時差漏洞
一、摘要
微軟於近期揭露，Lace Tempest組織已經開始利用影響SysAid的CVE-2023-47246漏洞，其利用該漏洞上傳含有WebShell和其它酬載的WAR檔案，該WebShell可讓未經授權的駭客存取及控制目標系統，並利用一個PowerShell來執行惡意程式載入工具，繼之載入了木馬程式GraceWire。成功讓GraceWire進駐系統之後，駭客即可於受害系統上展開橫向移動，竊取資料並部署勒索軟體。
註：1. WAR是一種可攜式Web 應用程式。2. 酬載：此指檔案包殼，躲避資安設備、防毒軟體及端點的檢測並運送到目的主機的代碼。
二、存在風險
微軟於近期揭露，Lace Tempest組織已經開始利用影響SysAid的CVE-2023-47246漏洞，其利用該漏洞上傳含有WebShell和其它酬載的WAR檔案，至SysAid Tomcat網頁服務的根目錄中，該WebShell可讓未經授權的駭客存取及控制目標系統，並利用一個PowerShell來執行惡意程式載入工具，繼之載入了木馬程式GraceWire。成功讓GraceWire進駐系統之後，駭客即可於受害系統上展開橫向移動，竊取資料並部署勒索軟體。此外，駭客還透過另一個PowerShell來抹去他們於系統上的攻擊痕跡。
IoC：
- user.exe：
b5acf14cdac40be590318dee95425d0746e85b1b7b1cbd14da66f21f2522bf4d - File Paths：
- C:\Program Files\SysAidServer\tomcat\webapps\usersfiles\user.exe
- C:\Program Files\SysAidServer\tomcat\webapps\usersfiles.war
- C:\Program Files\SysAidServer\tomcat\webapps\leave
- C2：
- 81.19.138[.]52
- 45.182.189[.]100
- 179.60.150[.]34
- 45.155.37[.]105
建議改善措施：
- 請更新SysAid至23.3.36版本。
- 檢查是否有任何異常的JSP檔案存在於SysAid Tomcat的檔案夾中。
- 檢查NTFS Journal和Shadow copies近期是否有刪除SysAidServer資料夾路徑下之JSP檔案紀錄。
- 檢查系統程序，其Wrapper.exe是否有異常執行其他子程序，如：cms.exe和PING.exe。
- 儘速導入雲智維服務，進行資安威脅情資偵測與聯防，降低企業資安風險。
情資報告連結：
- https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification
- https://www.ithome.com.tw/news/159735
