Asp.net

Hackers estão explorando chaves de máquina ASP.NET expostas para injetar um módulo malicioso sofisticado conhecido como “HijackServer” em servidores do Internet Information Services (IIS). Essa vulnerabilidade, que afeta centenas de servidores web globalmente, permite a execução remota de código e compromete a segurança de organizações de todos os tamanhos. Os atacantes identificam aplicações ASP.NET com chaves fracas ou publicamente divulgadas, o que facilita a manipulação do viewstate e a execução de código arbitrário no servidor. Uma vez dentro, eles utilizam técnicas de escalonamento de privilégios para obter controle administrativo e implantam ferramentas de acesso remoto. O HijackServer, um módulo nativo do IIS, não apenas serve como uma porta dos fundos não autenticada, mas também gera páginas de investimento falsas para enganar usuários. Os administradores são aconselhados a rotacionar suas chaves de máquina ASP.NET e a monitorar seus ambientes IIS em busca de módulos suspeitos, uma vez que a exposição de segredos pode deixar as organizações vulneráveis, mesmo que as falhas sejam corrigidas.

Um grupo de pesquisadores de segurança cibernética demonstrou uma nova técnica que utiliza a poluição de parâmetros HTTP para contornar firewalls de aplicações web (WAFs) e executar scripts maliciosos em aplicações ASP.NET. A técnica se baseia no comportamento de concatenação de strings de consulta do ASP.NET, onde parâmetros duplicados são mesclados em uma única entrada separada por vírgulas. Ao distribuir fragmentos de carga útil em múltiplos parâmetros, os pesquisadores conseguiram ocultar operações maliciosas das regras de detecção convencionais dos WAFs.