Эксплуатация уязвимости в Windows Server Update Services позволяет выполнять удаленный код

WSUS представляет собой централизованную службу распределения обновлений Microsoft для администраторов ИТ-инфраструктуры. Системы, имеющие публично доступные порты WSUS по умолчанию (8530/TCP и 8531/TCP), оказались под прицелом киберпреступников. Атака основана на уязвимости десериализации в AuthorizationCookie, что позволяет запускать вредоносные команды через специально сформированные POST-запросы к веб-сервисам WSUS.

Наблюдаемое поведение злоумышленников включало запуск командной строки (cmd.exe) и PowerShell через процессы wsusservice.exe и w3wp.exe. Цепочки процессов демонстрируют последовательное выполнение: wsusservice.exe → cmd.exe → cmd.exe → powershell.exe и аналогичную для w3wp.exe. Внедренный код в формате base64 декодировался и выполнялся в PowerShell, после чего происходило перечисление сетевых настроек и учетных записей пользователей с последующей передачей данных на удаленный веб-хук.

Для маскировки своей деятельности злоумышленники использовали прокси-сети. Команды, выполняемые в рамках атаки, включали whoami; net user /domain и net user /domain; ipconfig /all, что типично для первоначальной разведки в корпоративной среде.

Эксперты Huntress отмечают, что масштабы эксплуатации CVE-2025-59287 остаются ограниченными, поскольку WSUS редко размещается в публичном доступе. Среди партнерской базы компании было выявлено около 25 уязвимых хостов. Однако для подвергшихся атаке организаций риски включают несанкционированный доступ к критической инфраструктуре и утечку конфиденциальных данных.

В качестве индикаторов компрометации (IOC) специалисты рекомендуют проверить логи WSUS (C:\Program Files\Update Services\Logfiles\SoftwareDistribution.log) и журналы IIS (C:\inetpub\logs\LogFiles\W3SVC*\u_ex*.log). Ключевые процессы для мониторинга - w3wp.exe и wsusservice.exe, а также их дочерние процессы cmd.exe и powershell.exe.

Для защиты от угрозы необходимо немедленно установить обновление безопасности, предоставленное Microsoft. Администраторам также следует ограничить сетевой доступ к WSUS, разрешив подключения только с доверенных хостов и заблокировав входящий трафик на порты 8530 и 8531 для всех остальных источников.

Huntress опубликовала сигма-правило для выявления подозрительной активности, связанной с дочерними процессами WSUS. Раннее обнаружение и изоляция инцидентов позволяют предотвратить эскалацию атак и минимизировать потенциальный ущерб.

Своевременное применение исправлений и усиление контроля за сетевыми настройками остаются ключевыми мерами противодействия подобным угрозам. Организациям, использующим WSUS, рекомендуется провести аудит конфигураций и убедиться в отсутствии непреднамеренного доступа к службе извне.

C:\Program Files\Update Services\Logfiles\SoftwareDistribution.log

C:\inetpub\logs\LogFiles\W3SVC*\u_ex*.log

Observed enumeration command