URGENT – 4 Aktívne využívané 0-Day Flaws nájdené v Microsoft Exchange

Spoločnosť Microsoft vydala núdzové záplaty na odstránenie štyroch predtým nezverejnených bezpečnostných chýb na serveri Exchange, o ktorých tvrdí, že ich aktívne využíva nový čínsky štátom podporovaný aktér hrozieb s cieľom páchať krádež údajov.

Centrum Microsoft Threat Intelligence Center (MSTIC) opísalo útoky ako „obmedzené a cielené“ a uviedlo, že protivník použil tieto zraniteľné miesta na prístup k lokálnym serverom Exchange, čím zase poskytol prístup k e-mailovým účtom a pripravil pôdu pre inštaláciu ďalšieho škodlivého softvéru na uľahčenie. dlhodobý prístup do prostredia obetí.

Technologický gigant kampaň s vysokou dôverou pripisoval predovšetkým hrozbám, ktorých nazýva HAFNIUM, štátom podporovaným hackerským kolektívom pôsobiacim mimo Číny, hoci má podozrenie, že do nej môžu byť zapojené aj iné skupiny.

Spoločnosť Microsoft po prvýkrát diskutuje o taktike, technikách a postupoch (TTP) skupiny a označuje HAFNIUM za „vysoko zručného a sofistikovaného aktéra“, ktorý vyčleňuje najmä subjekty v USA na získavanie citlivých informácií z radu priemyselných sektorov, vrátane výskumníkov infekčných chorôb, právnických firiem, inštitúcií vyššieho vzdelávania, dodávateľov v oblasti obrany, politických think-tankov a mimovládnych organizácií.

Predpokladá sa, že HAFNIUM organizuje svoje útoky využívaním prenajatých virtuálnych súkromných serverov v USA v snahe zamaskovať svoju zákernú činnosť.

Trojfázový útok zahŕňa získanie prístupu k serveru Exchange buď pomocou ukradnutých hesiel, alebo pomocou predtým neobjavených zraniteľností, po ktorom nasleduje nasadenie webového prostredia na vzdialené ovládanie napadnutého servera. Posledný článok v reťazci útokov využíva vzdialený prístup k drancovaniu poštových schránok zo siete organizácie a exportuje zozbierané údaje na stránky na zdieľanie súborov, ako je MEGA.

Na dosiahnutie tohto cieľa sa ako súčasť reťazca útokov používajú až štyri zraniteľnosti nultého dňa objavené výskumníkmi z Volexity a Dubexu —

  • CVE-2021-26855: Chyba zabezpečenia falšovania požiadaviek na strane servera (SSRF) na serveri Exchange
  • CVE-2021-26857: Nezabezpečená chyba zabezpečenia deserializácie v službe Unified Messaging
  • CVE-2021-26858: Chyba zabezpečenia pri zápise ľubovoľného súboru po overení na serveri Exchange a
  • CVE-2021-27065: Chyba zabezpečenia pri zápise ľubovoľného súboru po overení na serveri Exchange

Hoci zraniteľnosti ovplyvňujú Microsoft Exchange Server 2013, Microsoft Exchange Server 2016 a Microsoft Exchange Server 2019, Microsoft uviedol, že aktualizuje Exchange Server 2010 na účely „Defense in Depth“.

Okrem toho, keďže počiatočný útok vyžaduje nedôveryhodné pripojenie k portu Exchange servera 443, spoločnosť poznamenáva, že organizácie môžu tento problém zmierniť obmedzením nedôveryhodných pripojení alebo použitím VPN na oddelenie servera Exchange od externého prístupu.

Microsoft okrem toho, že zdôraznil, že exploity nesúviseli s narušeniami súvisiacimi so SolarWinds, uviedol, že informoval príslušné vládne agentúry USA o novej vlne útokov. Spoločnosť však nespresnila, koľko organizácií bolo cieľom a či boli útoky úspešné.

Uvádza sa, že kampane proti prieniku sa začali okolo januára 6, 2021, Volexity varoval, že zistil aktívne in-the-wild zneužívanie viacerých zraniteľností Microsoft Exchange používaných na krádež e-mailov a kompromitovanie sietí.

„Zatiaľ čo sa zdá, že útočníci spočiatku leteli do značnej miery pod radarom tým, že jednoducho kradli e-maily, nedávno sa preorientovali na spúšťanie exploitov, aby získali oporu,“ vysvetlili výskumníci Volexity Josh Grunzweig, Matthew Meltzer, Sean Koessel, Steven Adair a Thomas Lancaster vo svojom príspevku. spísať.

“Z pohľadu Volexity sa zdá, že toto zneužívanie zahŕňa viacero operátorov, ktorí využívajú širokú škálu nástrojov a metód na ukladanie poverení, bočný pohyb a ďalšie systémy backdooring.”

Okrem opráv vytvoril senior analytik spravodajstva hrozieb spoločnosti Microsoft Kevin Beaumont aj doplnok nmap, ktorý možno použiť na skenovanie siete na potenciálne zraniteľné servery Microsoft Exchange.

Vzhľadom na závažnosť nedostatkov nie je prekvapením, že záplaty boli spustené týždeň pred plánom spoločnosti Patch Tuesday, ktorý je zvyčajne vyhradený na druhý utorok každého mesiaca. Zákazníkom, ktorí používajú zraniteľnú verziu Exchange Servera, sa odporúča okamžite nainštalovať aktualizácie, aby sa zabránilo týmto útokom.

„Napriek tomu, že sme rýchlo pracovali na nasadení aktualizácie pre exploity Hafnia, vieme, že mnohé národné štátne subjekty a zločinecké skupiny sa rýchlo rozhodnú využiť všetky neopravené systémy,“ povedal Tom Burt, viceprezident spoločnosti Microsoft pre zákaznícku bezpečnosť. povedal. „Rýchle aplikovanie dnešných záplat je najlepšou ochranou proti tomuto útoku.