ProxyShell, Microsoft Exchange’in istek yönlendirme ve PowerShell arka uç mimarisindeki üç ayrı zafiyetin birleştirilmesiyle, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya kadar giden bir sömürü zinciridir. 2021 ortasında halka açık ayrıntıların yayımlanmasının ardından geniş çaplı otomatik taramaların hedefi oldu.

Exchange’in ön uç ile arka uç arasındaki güven boşluğundan geçip parola bilmeden sunucuda komut çalıştırmanın yolunu açan üçlü zafiyet zinciridir ProxyShell.

Üç Halkalı Zincir

İlk zafiyet, Exchange’in Autodiscover bileşenindeki yol karıştırma (path confusion) hatasıdır; saldırgan, isteği sunucunun kimlik doğrulama katmanını atlayacak biçimde yönlendirir. İkinci halka, ayrıcalık yükseltme sağlayarak saldırganın PowerShell arka ucuna erişmesine olanak tanır. Üçüncü zafiyet ise bu erişim üzerinden isteğe bağlı bir dosyanın diske yazılmasını mümkün kılar.

Zincir tamamlandığında saldırgan, Exchange’in web dizinine bir web shell bırakır ve sunucuda yüksek yetkiyle komut çalıştırır. ProxyLogon’dan farkı, sömürünün Autodiscover ve PowerShell uç noktalarına dayanması ve kimlik doğrulamanın tümüyle atlanabilmesidir; bu da onu internete açık sunucularda özellikle tehlikeli kılar.

Sömürü Sonrası Ne Olur?

Web shell yerleştirildikten sonra saldırganın önceliği genellikle kalıcılık ve keşiftir. Exchange sunucuları etki alanı içinde ayrıcalıklı konumda bulunduğundan, buradan Active Directory güvenliği yapılarına doğru yanal hareket yapılabilir. Posta kutularındaki hassas yazışmalar da doğrudan hedeftir ve toplu biçimde dışarı taşınabilir.

Nitekim ProxyShell sömürülerinin çoğunda gözlenen ortak davranış, ele geçirilen posta verilerinin ve kimlik bilgilerinin sıkıştırılıp dışarı aktarılmasıdır; bu tür veri sızdırma hareketleri, sonrasında gelen fidye yazılımı ya da uzun soluklu casusluk faaliyetinin habercisi olabilir.

Korunma Yolları

En kesin savunma, ilgili güvenlik güncellemelerinin uygulanmasıdır; Exchange için düzenli bir yama yönetimi takvimi bu zincirin tümünü kapatır. Autodiscover uç noktasına dış erişimi sınırlamak ve sunucuyu doğrudan internete açık bırakmamak, sömürü olasılığını belirgin biçimde azaltır.

Yamalı olsa bile bir sunucunun daha önce sömürülüp sömürülmediği ayrı bir sorudur. IIS günlüklerinde /autodiscover altında beliren olağandışı istekler ve web dizininde beklenmeyen dosyalar aranmalı, düzenli zafiyet tarama ile açık kalmış örnekler tespit edilmelidir. Bir sömürü şüphesinde kapsamı ve kalıcılık izlerini doğru çıkarmak için Privia Security olay inceleme ve olay müdahalesi hizmeti devreye alınabilir.