ProxyLogon, şirket içi Microsoft Exchange sunucularını hedefleyen ve tek başına kimlik bilgisi gerektirmeden sunucunun tam olarak ele geçirilmesine kadar giden bir zafiyet zinciridir. 2021 başında yaygın biçimde sömürülen bu zincir, Exchange’in istemci erişim katmanındaki bir kimlik doğrulama atlatma hatasını çekirdek olarak kullanır.

İnternete açık bir Exchange sunucusuna, geçerli bir parola bilmeden yönetici gibi girmenin yolunu açan zafiyet zincirinin adıdır ProxyLogon.

Zincir Nasıl İşler?

Saldırı, sunucunun 443 numaralı portuna gönderilen özel hazırlanmış bir istekle başlar. İlk halka, sunucu tarafı istek sahteciliği (SSRF) niteliğindeki kimlik doğrulama atlatmadır; saldırgan, kendini Exchange’in dahili bir bileşeni gibi göstererek yetkili bir oturum elde eder. Bu adım, dışarıdan gelen isteğin sunucu içi güven sınırını aşmasını sağlar.

İkinci aşamada elde edilen bu ayrıcalıklı bağlam kullanılarak isteğe bağlı dosya yazma zafiyetleri tetiklenir. Saldırgan, web sunucusunun erişebildiği bir dizine bir web shell yerleştirir ve bu noktadan itibaren SYSTEM yetkisiyle uzaktan komut çalıştırabilir. Zincirin tamamlanmasıyla sunucu, e-posta kutularının okunmasından yanal harekete kadar her türlü işlem için saldırganın kontrolüne geçer.

Kurumsal Etki

Exchange sunucuları genellikle Active Directory güvenliği açısından yüksek ayrıcalıklı hesaplarla çalıştığı için, bir Exchange’in düşmesi çoğu zaman etki alanının tamamının risk altına girmesi anlamına gelir. Yerleştirilen web shell’ler kalıcı arka kapı görevi görür; yama uygulansa bile daha önce bırakılmış bir shell çalışmayı sürdürebilir.

Zafiyetin bu kadar geniş etki bırakmasının nedeni, birçok kurumun Exchange’i doğrudan internete açık tutması ve yamaları geciktirmesiydi. İnternete bakan bir e-posta altyapısı, saldırganlar için sürekli taranan bir hedef yüzeyidir; bu yüzden düzenli zafiyet tarama çalışmaları bu tür açık sistemleri erken görünür kılar.

Savunma ve Müdahale

Birincil savunma, Microsoft’un yayımladığı güncellemelerin gecikmeden uygulanmasıdır; disiplinli bir yama yönetimi süreci bu zincirin sömürü penceresini kısaltır. Bunun yanında sunucuya erişimi VPN veya IP kısıtıyla daraltmak, dış saldırı yüzeyini küçültür ve doğrudan sömürüyü zorlaştırır.

Yamanın tek başına yetmediği durumda, sunucuda halihazırda bir web shell bulunup bulunmadığını doğrulamak gerekir. IIS günlüklerinde alışılmadık POST istekleri, beklenmeyen dizinlerde yeni oluşmuş .aspx dosyaları ve Exchange süreçlerinden çıkan komut çalıştırma izleri incelenmelidir; bu aşamada uç nokta güvenliği telemetrisi kalıcı arka kapıları ortaya çıkarır. ProxyLogon şüphesi taşıyan bir olayda kapsamı doğru belirlemek için Privia Security olay inceleme ve olay müdahalesi ekibiyle çalışmak, sömürünün nereye kadar ilerlediğini netleştirir.