Microsoft mette in guardia contro un gruppo criminale organizzato noto come Afnio che esegue attacchi di massa contro enti privati e governativi, principalmente negli Stati Uniti. I rapporti iniziali hanno affermato che sono state colpite circa 30.000 organizzazioni, ma i dati recenti mostrano più di 60.000 e il numero dovrebbe ancora aumentare.
Gli attacchi sfruttano le vulnerabilità note zero-day nei server Microsoft Exchange. MIT Technology Review avverte che non è solo afnio, ma almeno altre 4 organizzazioni criminali che utilizzano le stesse tecniche per i loro attacchi.
Questo attacco dimostra che anche le vulnerabilità a basso e medio rischio possono portare a gravi conseguenze e non dovrebbero essere ignorate.
Qual è il rischio?
Le vulnerabilità mirate consentono agli aggressori di installare ed eseguire software sui server Microsoft Exchange, ad esempio shell Web o ransomware . Ciò consente agli aggressori di procedere verso altri sistemi connessi, potenzialmente accedere e rubare tutti i tuoi dati sensibili, nonché tentare estorsioni finanziarie.
Come funzionano gli attacchi?
Gli attacchi esplorano quattro vulnerabilità separate. Microsoft conosce queste vulnerabilità da tempo, ma le ha soprannominate a basso rischio. Sebbene ciascuna di queste vulnerabilità da sola possa effettivamente essere percepita come rischio medio o basso, insieme consentono l' escalation dei privilegi e gli attacchi di massa che ne derivano.
- Gli aggressori iniziano sfruttando la vulnerabilità CVE-2021-26855, che è una vulnerabilità SSRF (server-side request forgery) in Exchange. Consente loro di autenticarsi come server Exchange.
- Quindi, gli aggressori continuano a sfruttare CVE-2021-26858e CVE-2021-27065 , che sono vulnerabilità di scrittura arbitraria di file post-autenticazione in Exchange, nonché CVE-2021-26857 , che è una vulnerabilità di deserializzazione non sicura nella messaggistica unificata servizio. I primi due danno agli aggressori la possibilità di scrivere file sul server e l'ultimo consente loro di eseguire codice come SYSTEM sul server Exchange.
- Con la possibilità di caricare ed eseguire file come SISTEMA, gli aggressori intensificano l'attacco all'esecuzione di codice remoto, che consente loro di installare shell web o ransomware ed eseguirli.
Cosa posso fare per proteggermi?
Se disponi di un server Microsoft Exchange locale accessibile da Internet (la porta 443 è aperta), sei potenzialmente vulnerabile.
Microsoft ha già rilasciato patch per le vulnerabilità interessate. Aggiorna immediatamente il tuo server Exchange con le patch Microsoft per eliminare le vulnerabilità e proteggerti dagli attacchi.
Se non sei in grado di aggiornare immediatamente il tuo software Microsoft , Microsoft ha emesso un elenco di potenziali misure di mitigazione temporanee . Implementa queste misure per proteggerti fino a quando non potrai aggiornare il software alla versione più recente.
Come faccio a sapere se sono stato hackerato?
Anche se ti proteggi, potresti essere già stato violato. Seguire le procedure delineate dalla direttiva di emergenza DHS 21-02 e dall'avviso CISA AA21-062A , nonché le pratiche forensi standard per verificare la presenza di potenziali violazioni nei propri sistemi.