Microsoft Safety Scanner (MSERT)

Microsoft hat eine neue Version seines Microsoft Safety Scanner (MSERT)-Tools veröffentlicht, das jetzt Web-Shells erkennen kann, die bei jüngsten Exchange Server-Angriffen verwendet wurden.

Microsoft teilte am 2. März mit, dass vier Zero-Day-Schwachstellen in Exchange Server bei Angriffen auf ungeschützte Outlook on the Web (OWA)-Server ausgenutzt wurden. CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 und CVE-2021-27065 sind die diesen Fehlern zugewiesenen Nummern.

Staatlich geförderte chinesische Bedrohungsakteure nutzen diese als „ProxyLogon“ bezeichnete Schwachstelle aus, um Postfächer zu stehlen, Passwörter zu sammeln und Web-Shells zu erstellen, um Zugriff auf das interne Netzwerk zu erhalten.

Als Microsoft die Angriffe zum ersten Mal ankündigte, veröffentlichten sie auch aktualisierte Signaturen für Microsoft Defender, die Web-Shells identifizieren würden, die mithilfe von Zero-Day-Schwachstellen bereitgestellt wurden.

Microsoft Defender erkennt diese Webshells mit den folgenden Namen:

• Exploit:Script/Exmann.A!dha
• Verhalten:Win32/Exmann.A
• Hintertür:ASP/SecChecker.A
• Webshell/JS Backdoor (nicht nur bei diesen Angriffen)
• JS/Chopper!dha Trojan:JS/Chopper!dha (nicht nur bei diesen Angriffen)
• Win32/DumpLsass.A!attk!attk!attk!attk!attk!attk!attk!att (nicht nur bei diesen Angriffen)
• HTML/TwoFaceVar.B ist eine Hintertür für HTML/TwoFaceVar.B. (nicht einzigartig bei diesen Angriffen)

Der Microsoft Safety Scanner scannt nach den unten aufgeführten Gefahren und funktioniert
auch gut auf Exchange-Servern.

• Skripte
• Spyware
• Adware
• Browser-Hijacker
• Trojaner
• Würmer
• Viren

Microsoft hat die Signaturen in seinem eigenständigen Microsoft Safety Scanner-Tool aktualisiert, um Unternehmen dabei zu unterstützen,
bei diesen Angriffen verwendete Webshells zu erkennen und zu entfernen, wenn sie Microsoft Defender nicht verwenden.

Verwendet zum Entfernen von Web-Shells Microsoft Safety Scanner.
Microsoft Safety Scanner, allgemein bekannt als Microsoft Support Emergency Response Program (MSERT), ist ein tragbares Antimalware-Tool,
das mithilfe von Microsoft Defender-Signaturen nach Malware sucht und diese entfernt.

MSERT ist ein einmaliger Scanner, der keinen Echtzeitschutz bietet. Daher sollte es nur für Spot-Scans und nicht als vollwertige Antivirenlösung verwendet werden.

Microsoft Safety Scanner (MSERT) – Ausführen eines Scans

Wenn ihr MSERT außerdem nicht mit dem Parameter /N startet, wie in msert.exe /N, werden alle erkannten Dateien
gelöscht und nicht isoliert.

Nachdem ihr den Lizenzbedingungen zugestimmt und die Software gestartet habt, wird ein Bildschirm angezeigt,
in dem ihr gefragt werdet, welche Art von Scan ihr ausführen möchtet.
Die Log-Datei findet ihr im Pfad %SYSTEMROOT%\debug\msert.log.

Da ein umfassender Scan je nach Größe eurer Installation lange dauern kann, empfiehlt Microsoft,
einen „benutzerdefinierten Scan“ für jeden der unten aufgeführten Ordner durchzuführen:

• %IIS installation path%\aspnet_client*
• %IIS installation path%\aspnet_client\system_web*
• %Exchange Server installation path%\FrontEnd\HttpProxy\owa\auth*
• Configured temporary ASP.NET files path
• %Exchange Server Installation%\FrontEnd\HttpProxy\ecp\auth*

MSERT teilt nach Abschluss des Scans mit, welche Dateien gelöscht wurden und welchen Definitionsnamen sie haben.

Microsoft Safety Scanner (MSERT) Download

Der Microsoft Safety Scanner ist ein 32-Bit- oder 64-Bit-Programm, das heruntergeladen und verwendet werden kann, um bei Bedarf Stichproben auf einem Computer durchzuführen.

Download der 64-Bit Version
Download der 32-Bit Version

Spezifikationen für das System

Windows 11, Windows 10, Windows 10 Tech Preview, Windows 8.1, Windows 8, Windows 7, Windows Server 2019, Windows Server 2016, Windows Server Tech Preview, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 oder Windows Server 2008 werden alle von Safety Scanner unterstützt.

Wichtige Infos zu Microsoft Safety Scanner (MSERT)

Die Security Intelligence Update-Version des Microsoft Safety Scanners entspricht der auf dieser Seite angegebenen Version.

Der Safety Scanner scannt nur, wenn er explizit aktiviert ist, und kann nach dem Herunterladen 10 Tage lang verwendet werden. Es wird empfohlen, vor jedem Scan die neueste Version
dieses Dienstprogramms herunterzuladen.

Safety Scanner ist ein tragbares Programm, das nicht im Startmenü oder als Desktop-Symbol in Windows angezeigt wird. Merkt euch am besten also, wo ihr diese Datei gespeichert habt.

Dieses Programm ersetzt nicht eure Antimalware-Software. Verwendet Microsoft Defender Antivirus unter Windows 11,
Windows 10 und Windows 8 oder Microsoft Security Essentials unter Windows 7 für Echtzeitschutz mit automatischen
Updates. Diese Antimalware-Programme verfügen auch über effektive Malware-Bereinigungsfunktionen. Wenn ihr
Probleme habt, Malware mit diesen Tools zu beseitigen, seht euch den
Leitfaden zur Beseitigung komplexer Bedrohungen an.

Wojciech Roslanowski

Ich bin seit mehreren Jahren als leidenschaftlicher  ITler unterwegs. Schreibe gerne über Windows und WordPress-Themen & Co. auf der Seite. Darüber hinaus bin ich seit 2008 als selbständiger SEO-Berater tätig. Also falls ihr Beratung in Sachen PC oder SEO braucht, gerne kontaktieren🙂