SessionManager IISバックドア：見落とされている可能性のあるGELSEMIUMアーティファクト from securelist.com
security summary
SessionManager：Webサーバーにさらに別の不要なモジュールがあります
C ++で開発されたSessionManagerは、サーバーに継続的に送信される正当なHTTP要求を処理するために、一部のIISアプリケーションによって読み込まれることを目的とした悪意のあるネイティブコードIISモジュールです。
コマンドは、特定のHTTP Cookie名を使用して、オペレーターからSessionManagerに渡されます。
リモート実行およびファイル書き込み機能では、HTTPリクエスト本文内で追加のコマンドデータを渡す必要があります。
特に、オペレーターは、SessionManagerリモート実行コマンドのPowershell WebClient機能を使用して、2021年3月から4月の間にサーバーのIPアドレス202.182.123[。
ツールサンプルは同じであるだけでなく、そのうちの1つはSessionManagerオペレーターが利用したステージングサーバーからダウンロードされました（202.182.123[。]185）。
コメント