Злоумышленники активно эксплуатируют уязвимости в MS Exchange

Корпорация Microsoft экстренно выпустила заплатки, закрывающие сразу несколько уязвимостей в Exchange Server. Четыре из них, по словам представителей компании, уже используются в целевых атаках, так что их стоит закрыть поскорее.

Что за уязвимости и чем они опасны?

Четыре самых опасных уязвимости, которые уже вовсю эксплуатируют злоумышленники, позволяют им провернуть трехступенчатую атаку. Сначала они получают доступ к серверу Exchange, затем создают веб-шелл для удаленного доступа к серверу, а затем используют его для кражи данных из сети организации. Вот эти уязвимости:

• уязвимость CVE-2021-26855 может быть использована для подделки запросов со стороны сервера (server-side request forgery) что позволяет обойти аутентификацию на сервере Exchange и, как следствие, ведет к удаленному запуску произвольного кода;
• CVE-2021-26857 позволяет злоумышленникам выполнить произвольный код от имени системы (для ее использования требуются либо права администратора, либо эксплуатация предыдущей уязвимости;
• CVE-2021-26858и CVE-2021-27065 используются для записи файла по любому пути на сервере.

Злоумышленники используют эти четыре уязвимости в связке. Впрочем, если судить по данным Microsoft, иногда они пользуются похищенными учетными данными и аутентифицируются на сервере без применения уязвимости CVE-2021-26855.

Патч, который закрывает все эти уязвимости, устраняет и еще несколько более мелких дыр в Exchange, не имеющих прямого отношения к активным целевым атакам (по крайней мере насколько нам это известно).

Кто в группе риска?

Облачная версия Exchange не подвержена данным уязвимостям, они представляют опасность только для развертываемых внутри инфраструктуры серверов. Изначально Microsoft выпустила патчи для Microsoft Exchange Server 2013, Microsoft Exchange Server 2016 и Microsoft Exchange Server 2019, а также в рамках стратегии Defense in Depth было опубликовано обновление для Microsoft Exchange Server 2010. Впрочем, из-за массовой эксплуатации через некоторое время были закрыты и уязвимости в более старых версиях Exchange.

По мнению исследователей из Microsoft, за атаками с использованием этих уязвимостей стоят хакеры из группировки Hafnium. В сферу их интересов входят американские индустриальные компании, исследователи инфекционных заболеваний, юридические фирмы, некоммерческие организации и политические аналитики. Их цель — похищение конфиденциальной информации. Точное количество жертв не известно, однако, по данным источников KrebsOnSecurity, как минимум 30 000 организаций в США, включая малый бизнес и городские администрации, были атакованы при помощи этих уязвимостей. По данным наших экспертов, цели злоумышленников находятся не только в Америке – они атакуют серверы Exchange по всему миру. Более подробную информацию по географии атак можно найти в публикации на сайте Securelist.

Как защититься от атак на MS Exchange?

• Первым делом — поставить патч. Если в вашей компании по каким-то причинам невозможно обновиться срочно, то Microsoft предлагает несколько обходных решений.
• Эксперты Microsoft говорят, что начальную фазу атаки можно остановить, запретив недоверенный доступ к серверу Exchange через порт 443 или в целом ограничив подключения извне корпоративной сети. Однако это не поможет, если злоумышленники уже находятся внутри вашего периметра или если им удастся убедить пользователя с правами администратора запустить вредоносный файл.
• Решение класса Endpoint Detection and Response (если у вас есть внутренние эксперты) или внешние специалисты сервисов типа Managed Detection and Response могут обнаружить подобное вредоносное поведение в сети.
• Всегда помните, что каждый компьютер, подключенный к Интернету, будь то сервер или рабочая станция, нуждается в надежном решении, способном предотвращать эксплуатацию уязвимостей и имеющем систему проактивного обнаружения вредоносного поведения.