Owowa Malware oppdaget på Microsoft Exchange IIS-servere

Microsoft-servere har vært målet for flere, storskala cyberkriminalitetsangrep i 2021. En av de siste kampanjene involverer distribusjon av et ondsinnet IIS-tillegg, som er klassifisert som skadelig programvare kalt Owowa. Denne skadelig utformede komponenten av Internet Information Services (IIS) er i stand til å utføre phishing-angrep og kjøre eksterne kommandoer på den kompromitterte serveren. Selvfølgelig er det viktig å inkludere at Owowa Malware ikke er lett å plante på servere – kriminelle må fortsatt finne en måte å levere det ondsinnede tillegget på, og få en bruker med økte tillatelser til å kjøre den.

Owowa Malware ble først kompilert i 2020

Et av de overraskende funnene om Owowa Malware er det faktum at noen av nyttelastene først ble kompilert i 2020, noe som betyr at denne malware kanskje fungerte uoppdaget i en veldig lang periode. Omfanget av Owowa Malware-angrepet er ikke klart ennå, men det er mulig at tusenvis av Microsoft Exchange-servere kan ha blitt kompromittert med bruken av denne skadelige programvaren.

En av komponentene som denne skadevare går etter spesielt er Outlook Web Access (OWA) som finnes på de fleste Microsoft Exchange-servere. Den er ansvarlig for å håndtere påloggingsforespørsler for Outlook, som forklarer hvordan kriminelle ville misbruke det ondsinnede implantatet for å hente inn påloggingsinformasjon.

Owowa Malware-operatører bruker en særegen metode for å styre implantatet

Måten Owowa Malware kjører eksterne kommandoer på er også veldig nyskapende. De kriminelle bruker påloggingssiden til den kompromitterte OWA-siden for å gi kommandoene i brukernavn- og passordfilene. Ved å legge inn spesifikke strenger, kan de kriminelle kommandere Owowa Malware til å:

• Returner stjålne påloggingsinformasjon i et base64-kodet format.
• Tøm loggen for stjålne legitimasjon som er lagret på den kompromitterte serveren.
• Utfør en PowerShell-kommando sendt via passordfeltet.

En stor del av ofrene til Owowa Malware ser ut til å være i Malaysia, Mongolia, Indonesia og Filippinene. Imidlertid er det sannsynlig at det er mange andre organisasjoner og bedrifter som har fått serverne sine kompromittert av dette angrepet. Administratorer kan beskytte sine Microsoft Exchange-servere med bruk av oppdaterte antivirusverktøy og implementere riktige sikkerhetspolicyer.