新手の攻撃手法「OWASSRF」 - 「ProxyNotShell」軽減策をバイパス

CrowdStrikeでは、マイクロソフトが11月にリリースした月例セキュリティ更新を適用したシステムでは、今回発見した「OWASSRF」が機能しないことを確認しており、あらためてアップデートを呼びかけている。

またパッチが未適用の場合は「OWA」を無効にする必要があると指摘。また管理者以外がリモートより「PowerShell」を利用できないようマイクロソフトの推奨策を実施するよう求めた。

あわせて「IIS」や「PowerShell」のログより、攻撃の兆候がないか確認するスクリプトをGitHubにて公開している。

「OWASSRF」に関連し、Palo Alto Networksは、11月下旬から12月上旬にかけて脆弱性が積極的に悪用されたことを観測していることを明らかにした。

攻撃者は、「管理者アカウント」の作成や認証情報の窃取のほか、リモートデスクトップアプリケーションである「AnyDesk」のインストールしたり、「PuTTY Link」によりSSHトンネルを作成して「RDP」によるリモートからアクセス環境などの構築を狙っていたと指摘。注意を呼びかけている。

（Security NEXT - 2022/12/28 ）ツイート