A Microsoft lançou patches fora de banda para várias vulnerabilidades do Exchange Server. Quatro dessas vulnerabilidades, de acordo com a empresa, já estão sendo usadas em ataques direcionados, portanto, seria aconselhável instalar os patches o mais rápido possível .

Qual é o risco?

As quatro vulnerabilidades mais perigosas já exploradas permitem que os invasores realizem um ataque de três estágios. Primeiro, eles acessam um servidor Exchange, depois criam um shell da Web para acesso remoto ao servidor e, por último, usam esse acesso para roubar dados da rede da vítima. As vulnerabilidades são:

CVE-2021-26855 - pode ser usado para falsificação de solicitação do lado do servidor , levando à execução remota de código;

CVE-2021-26857 - pode ser usado para executar código arbitrário em nome do sistema (embora isso requeira direitos de administrador ou exploração da vulnerabilidade anterior);

CVE-2021-26858 e CVE-2021-27065 - pode ser usado por um invasor para sobrescrever arquivos no servidor.

Os cibercriminosos usam as quatro vulnerabilidades em conjunto; no entanto, de acordo com a Microsoft, em vez de um ataque inicial, eles às vezes usam credenciais roubadas e se autenticam no servidor sem usar a vulnerabilidade CVE-2021-26855.

Além disso, o mesmo patch corrige algumas outras vulnerabilidades menores no Exchange que não estão (até onde sabemos) diretamente relacionadas a ataques direcionados ativos.

Quem corre risco?

A versão em nuvem do Exchange não é afetada por essas vulnerabilidades; eles representam uma ameaça apenas para os servidores implantados na infraestrutura. Inicialmente, a Microsoft lançou atualizações para o Microsoft Exchange Server 2013, Microsoft Exchange Server 2016 e Microsoft Exchange Server 2019, e uma atualização adicional de "Defesa em Profundidade" para o Microsoft Exchange Server 2010. No entanto, devido à gravidade da exploração, eles adicionaram posteriormente correções para Servidores Exchange desatualizados também.

De acordo com pesquisadores da Microsoft, foram os hackers do grupo Hafnium que exploraram as vulnerabilidades para roubar informações confidenciais. Seus alvos incluem empresas industriais americanas, pesquisadores de doenças infecciosas, escritórios de advocacia, organizações sem fins lucrativos e analistas políticos. O número exato de vítimas é desconhecido, mas de acordo com fontes do KrebsOnSecurity, pelo menos 30.000 organizações nos EUA, incluindo pequenas empresas, administrações de cidades e governos locais foram hackeadas usando essas vulnerabilidades. Nossos especialistas descobriram que não apenas as organizações americanas estão em perigo - os cibercriminosos em todo o mundo estão usando essas vulnerabilidades. Você encontrará mais informações sobre a geografia do ataque na postagem da Securelist .

Como se proteger de ataques ao MS Exchange

Em primeiro lugar, aplique um patch à sua instalação do Microsoft Exchange Server. Se sua empresa não puder instalar atualizações, a Microsoft recomenda uma série de soluções alternativas .

De acordo com a Microsoft, negar o acesso não confiável ao servidor Exchange na porta 443, ou geralmente limitar as conexões de fora da rede corporativa, pode interromper a fase inicial do ataque. Mas isso não ajudará se os invasores já estiverem dentro da infraestrutura ou se obtiverem um usuário com direitos de administrador para executar um arquivo malicioso.

Uma solução de classe Endpoint Detection and Response (se você tiver especialistas internos) ou especialistas em serviço Managed Detection and Response externos podem detectar esse comportamento malicioso.

Sempre tenha em mente que todo computador conectado à Internet, seja ele servidor ou estação de trabalho, precisa de uma solução de segurança de endpoint confiável para evitar exploits e detectar proativamente o comportamento malicioso.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.