Kwetsbare SharePoint-servers doelwit van ransomware-aanvallen

[Captain Kirk]

Criminelen maken gebruik van een ruim twee jaar oude kwetsbaarheid in SharePoint om servers met ransomware te infecteren, wat aantoont dat nog altijd veel organisaties de beschikbare beveiligingsupdate niet hebben geïnstalleerd, zo waarschuwt antivirusbedrijf Trend Micro.

De kwetsbaarheid, aangeduid als CVE-2019-0604, werd in februari en maart 2019 door Microsoft gepatcht. Door een speciaal geprepareerde SharePoint-appplicatie naar een SharePoint-server te uploaden kan een aanvaller willekeurige code op de server uitvoeren. Al in mei van 2019 waarschuwde de Canadese overheid voor aanvallen die misbruik van het beveiligingslek maakten. Vorig jaar publiceerde de Amerikaanse overheid nog een Top 10 van meest aangevallen kwetsbaarheden waarin het beveiligingslek ook werd genoemd.

Desondanks zijn een jaar later nog tal van organisaties waar er met kwetsbare SharePoint-servers wordt gewerkt, stelt Trend Micro. Die servers zijn nu het doelwit van ransomware-aanvallen. Door het beveiligingslek installeren aanvallers een webshell en daarmee de Beacon-dropper van het Cobalt Strike-framework. Via de dropper wordt uiteindelijk de Hello/WickrMe-ransomware geïnstalleerd. Slachtoffers moeten vervolgens losgeld betalen voor het ontsleutelen van hun gegevens. Hoe langer slachtoffers wachten met betalen, des te hoger het losgeld. Organisaties wordt aangeraden om de beschikbare beveiligingsupdate te installeren.

 

bron: https://www.security.nl