Los piratas informáticos a menudo instalan webshells en los sistemas Zimbra parcheados y luego esperan un tiempo antes de abusar del sistema comprometido. Especialmente en los sistemas donde los parches de seguridad críticos se instalaron demasiado tarde, puede parecer que todo estuvo bien, donde de hecho un pirata informático ya obtuvo acceso al sistema, pero aún no realizó ninguna otra actividad maliciosa.
Para verificar si la vulnerabilidad se aprovecha potencialmente en un servidor sin parches, busque las siguientes entradas de registro en el servidor de buzón.
Linware Argentina ⯈webappscarpeta. Busque archivos desconocidos en la carpeta de aplicaciones web, especialmente los que terminan en , o .jsp: .jslos archivos pueden tener nombres aleatorios o engañosos como . Para buscar archivos creados en los últimos 60 días, ejecute:.sh.py/opt/zimbra/jetty/webapps/zimbra/ /opt/zimbra/jetty/webapps/zimbraAdmin/security.jsp
/tmp/, /opt/zimbra/log, etc. Verifique estos lugares en busca de archivos con nombres inusuales como amd64, libd, etc.
Para verificar todos los archivos nuevos, pero excluyendo la copia de seguridad, el almacenamiento y los datos:
(Tenga en cuenta que ctse usa en lugar de la habitual mt, porque la hora modificada se puede cambiar fácilmente)
zimbray rootusuarios.Si hay evidencia de que se está aprovechando la vulnerabilidad, sugerimos reconstruirla: https://wiki.zimbra.com/wiki/Steps_To_Rebuild_ZCS_Server
