美国称多个黑客组织利用美政府IIS服务器漏洞

多个威胁行为者，利用 Progress Telerik 中存在三年的严重安全漏洞闯入美国一个未命名的联邦实体

该披露来自网络安全和基础设施安全局 (CISA)、联邦调查局 (FBI) 和多州信息共享与分析中心 (MS-ISAC) 发布的联合咨询。

“利用此漏洞允许恶意行为者在联邦文职行政部门 (FCEB) 机构的 Microsoft Internet 信息服务 (IIS) Web 服务器上成功执行远程代码，”这些机构表示。

从 2022 年 11 月到 2023 年 1 月初，确定了与数字入侵相关的妥协指标 (IoC)。

概括

从 2022 年 11 月到 2023 年 1 月上旬，网络安全和基础设施安全局 (CISA) 和创作组织发现联邦文职行政部门 (FCEB) 机构存在妥协指标 (IOC)。分析师确定多个网络威胁参与者，包括一个 APT 参与者，能够利用 Progress Telerik 用户界面 (UI) 中的 .NET 反序列化漏洞 ( CVE-2019-18935) for ASP.NET AJAX，位于该机构的 Microsoft Internet Information服务 (IIS) Web 服务器。成功利用此漏洞可实现远程代码执行。根据 Progress Software 的说法，2020 年第 1 版 (2020.1.114) 之前构建的适用于 ASP.NET AJAX 的 Telerik UI 容易受到此漏洞的攻击。

要采取的减轻恶意网络活动的行动：

实施补丁管理解决方案以确保符合最新的安全补丁。

针对正在运行的服务验证补丁管理和漏洞扫描的输出，以检查差异并说明所有服务。

将服务帐户限制为运行服务所需的最低权限。

CISA、联邦调查局 (FBI) 和多州信息共享与分析中心 (MS-ISAC) 正在发布这份联合网络安全咨询 (CSA)，为 IT 基础设施防御者提供策略、技术和程序 (TTP) 、IOC 以及检测和防止类似利用的方法。

跟踪为CVE-2019-18935（CVSS 分数：9.8），该问题与影响 ASP.NET AJAX 的 Progress Telerik UI 的 .NET反序列化漏洞有关，如果不打补丁，可能会导致远程代码执行。

在此值得注意的是，CVE-2019-18935 之前曾在 2020 年和 2021 年被各种威胁参与者滥用的一些最常利用的漏洞中占有一席之地。

CVE-2019-18935 与CVE-2017-11317一起，也被追踪为Praying Mantis（又名 TG2021）的威胁行为者武器化，以渗透到美国的公共和私人组织网络

上个月，CISA 还将CVE-2017-11357 （另一个影响 Telerik UI 的远程代码执行错误）添加到已知被利用漏洞 (KEV) 目录中，并引用了积极利用的证据。

在 2022 年 8 月记录的针对 FCEB 机构的入侵中，据说威胁行为者利用 CVE-2019-18935 通过 w3wp.exe 进程上传和执行伪装成 PNG 图像的恶意动态链接库 (DLL)文件。

DLL 工件旨在收集系统信息、加载额外的库、枚举文件和进程，并将数据泄露回远程服务器。

早在 2021 年 8 月就观察到的另一组攻击很可能是由名为XE Group的网络犯罪分子发起的，需要使用上述规避技术来规避检测。