Owowa-Malware auf Microsoft Exchange IIS-Servern entdeckt

Microsoft-Server waren im Jahr 2021 das Ziel mehrerer groß angelegter Cyberkriminalität. Eine der neuesten Kampagnen beinhaltet die Bereitstellung eines bösartigen IIS-Add-Ons, das als Malware namens Owowa klassifiziert wird. Diese in böser Absicht entwickelte Komponente der Internetinformationsdienste (IIS) kann Phishing-Angriffe ausführen und Remotebefehle auf dem kompromittierten Server ausführen. Natürlich ist es wichtig zu berücksichtigen, dass die Owowa-Malware nicht einfach auf Servern zu installieren ist – Kriminelle müssen immer noch einen Weg finden, das bösartige Add-On bereitzustellen und einen Benutzer mit erhöhten Rechten dazu zu bringen, es auszuführen.

Owowa Malware wurde erstmals 2020 kompiliert

Eine der überraschenden Erkenntnisse über die Owowa-Malware ist die Tatsache, dass einige der Payloads erstmals im Jahr 2020 kompiliert wurden, was bedeutet, dass diese Malware möglicherweise sehr lange unentdeckt funktioniert hat. Der Umfang des Owowa-Malware-Angriffs ist noch nicht klar, aber es ist möglich, dass Tausende von Microsoft Exchange-Servern durch den Einsatz dieser Malware kompromittiert wurden.

Eine der Komponenten, die diese Malware insbesondere verfolgt, ist Outlook Web Access (OWA), das auf den meisten Microsoft Exchange-Servern zu finden ist. Es ist für die Verarbeitung von Anmeldeanfragen für Outlook verantwortlich, was erklärt, wie die Kriminellen das bösartige Implantat missbrauchen, um Anmeldeinformationen zu erbeuten.

Owowa-Malware-Betreiber verwenden eine eigentümliche Methode, um das Implantat zu beherrschen

Sehr innovativ ist auch die Art und Weise, wie die Owowa-Malware Remote-Befehle ausführt. Die Kriminellen verwenden die Login-Seite der kompromittierten OWA-Seite, um die Befehle in den Benutzernamen- und Passwortdateien bereitzustellen. Durch die Eingabe bestimmter Zeichenfolgen können die Kriminellen der Owowa-Malware befehlen:

• Geben Sie gestohlene Anmeldeinformationen in einem base64-codierten Format zurück.
• Löschen Sie das Protokoll der gestohlenen Anmeldeinformationen, die auf dem kompromittierten Server gespeichert sind.
• Führen Sie einen über das Kennwortfeld übermittelten PowerShell-Befehl aus.

Ein Großteil der Opfer von Owowa Malware scheint sich in Malaysia, der Mongolei, Indonesien und den Philippinen zu befinden. Es ist jedoch wahrscheinlich, dass es viele andere Organisationen und Unternehmen gibt, deren Server durch diesen Angriff kompromittiert wurden. Administratoren können ihre Microsoft Exchange-Server durch den Einsatz aktueller Antiviren-Tools und die Implementierung geeigneter Sicherheitsrichtlinien schützen.