Het 'Nationaal Cyber Security Centrum' (NCSC) adviseert om zo snel mogelijk de vrijgegeven patch te installeren. Tevens raadt het adviesorgaan aan om de Exchange-omgeving te controleren om uit te sluiten dat er misbruik heeft plaatsgevonden.
Zeroday kwetsbaarheden
Eerder deze week dichtte Microsoft vier zogeheten zeroday-kwetsbaarheden in Exchange Server, een programma dat door bedrijven gebruikt wordt om e-mails mee te ontvangen en versturen. Een zeroday is een kwetsbaarheid in de software die sinds dag één bestaat, maar waar de fabrikant en het publiek niets van afweten. Hackers en cybercriminelen zijn hier dol op, omdat het hen in staat stelt om onopgemerkt computersystemen en servers te infiltreren, malware te installeren of andere kwade fratsen uit te halen.
Op haar beveiligingsblog schreef Microsoft dat kwaadwillenden door de zeroday exploits toegang konden krijgen tot Exchange-servers. Als ze eenmaal toegang hadden tot de e-mailaccounts van de medewerkers, konden ze ransomware en andere vormen van malware installeren. De exploits bestaan in Exchange Server die op versie 2013, 2016 en 2019 draaien. Microsoft rolde dinsdag een patch uit voor om de beveiligingslekken te dichten. Het Amerikaanse hard- en softwarebedrijf raadde gebruikers aan om deze zo snel mogelijk te installeren.
Ontdekking door Volexity
Twee van de vier beveiligingslekken kwamen aan het licht dankzij Volexity. Het beveiligingsbedrijf ontdekte in januari dat er grote hoeveelheden data naar verdachte IP-adressen werden verstuurd. Aanvankelijk dachten securityexperts dat hackers gebruik maakten van een achterdeurtje, maar dat bleek niet het geval. In plaats daarvan stelden ze vast dat er meerdere zerodays waren. Eén van de kwetsbaarheden was zo ernstig dat er geen authenticatie nodig was.
Staatshackers Hafnium
Het Microsoft Threat Intelligence Center (MSTIC) zegt dat het ‘vrij zeker’ is dat de zerodays actief zijn misbruikt door HAFNIUM, een groep Chinese staatshackers die buiten China opereren. Dat zou blijken uit de tactieken, procedures en de slachtoffers die ze kozen. Onder meer advocatenkantoren, onderwijsinstellingen, politieke denktanks en non-profitorganisaties zijn geliefde doelwitten van de Chinese hackers. Als ze eenmaal het netwerk zijn binnengedrongen, stelen ze gevoelige data en delen deze op websites als MEGA van Kim Dotcom. HAFNIUM werkt voornamelijk van gehuurde virtual private servers (VPS) in de VS, zo stelt Microsoft.
Uit onderzoek van het MSTIC blijkt dat de Chinese staatshackers in drie stappen te werk gaan. Allereerst dringen ze het netwerk van hun doelwit binnen, hetzij door gebruik te maken van de zeroday exploits, hetzij met behulp van gestolen wachtwoorden. Vervolgens konden ze web shells opzetten op de Exchange Server, waarmee ze op afstand de controle over de server konden overnemen. Tot slot stalen de aanvallers gevoelige data en installeerden ze malware.
Ook in Nederland
Tot nu toe was bekend dat de zeroday exploits in Microsoft Exchange Server actief werden misbruikt in de VS. Dat blijkt ook in ons land het geval te zijn, waarschuwt het Nationaal Cyber Security Centrum (NCSC). “Van een van onze partners hebben wij vernomen dat ook binnen Nederland actief misbruik wordt gemaakt van deze kwetsbaarheden”, schrijft het adviesorgaan in een persbericht. Om welke bedrijven of instellingen het gaat, houdt het NCSC in het midden.
Net als Microsoft adviseert het NCSC om zo snel mogelijk de patch te installeren die Microsoft beschikbaar heeft gesteld. Tevens adviseert de instantie organisaties om hun Exchange-omgeving te controleren om zo uit te sluiten of de beveiligingslekken zijn misbruikt. Systeembeheerders moeten daarbij letten op zogeheten Indicators of Compromise (IOC’s). Dat zijn aanwijzingen in de logbestanden die kunnen duiden op misbruik door hackers. Microsoft heeft PowerShell-scripts beschikbaar gesteld waarmee logbestanden automatisch kunnen worden gecontroleerd. “Houd er rekening mee dat aanwezigheid van deze IoC’s niet noodzakelijkerwijs betekent dat uw Exchange-omgeving is gecompromitteerd”, eindigt het NCSC zijn blog.
Lees ook, wat moet ik doen:
Bron: microsoft.com, ncsc.nl, vpngids.nl
Meer info over ‘Cybercrime’?
Tips of verdachte activiteiten gezien? Meld het hier of anoniem.
Cybercrime gerelateerde berichten
VDL Nedcar: "Medewerkers die in de productie zitten zijn naar huis of doen werkzaamheden die wel offline kunnen"
Vanwege een cyberaanval donderdag houdt industrieconcern VDL er sterk rekening mee dat er bij het bedrijf ook nog vandaag verstoringen zullen zijn. Grote delen van het bedrijf, waaronder autofabriek VDL Nedcar in Born, zullen dan plat liggen.
De drie meest voorkomende cyber-kwetsbaarheden bij het MKB
In het kader van de Europese cybersecuritymaand komt ThreadStone Cyber Security dit jaar weer met de top 3 van kwetsbaarheden binnen het MKB.
Cybercriminelen gingen afgelopen jaar 67% sneller te werk
Cybercriminelen gingen het afgelopen jaar maar liefst 67 procent sneller te werk dan in 2020. De gemiddelde breakout time, de tijd waarin cybercriminelen zich na eerste toegang kunnen bewegen in meerdere systemen, bedroeg het afgelopen jaar slechts 1 uur en 32 minuten. In 2020 lag de gemiddelde break out time nog op 4 uur en 37 minuten. Dit blijkt uit het jaarlijkse 'Threat Hunting Report' van CrowdStrike.
Het moet anders en het kan anders, overheid te traag
Nederlandse bedrijven en belangenorganisaties werken aan een eigen alarmsysteem tegen hackers. Bedrijven die een veiligheidsrisico lopen, moeten via dat systeem sneller gewaarschuwd worden dan via het huidige waarschuwingssysteem van de overheid.
Reactie minister op rapport 'Binnen zonder kloppen'
Het kabinet wil de digitale weerbaarheid van het onderwijs vergroten. In het middelbaar en hoger onderwijs zijn de afgelopen tijd belangrijke stappen gezet om dat te realiseren, maar er zijn aanvullende maatregelen nodig. De overheid wil onder meer dat alle onderwijsinstellingen aansluiting zoeken bij een Security Operations Center (SOC) en dat een onafhankelijk externe partij periodiek een audit uitvoert naar de bestaande beveiligingsmaatregelen.
Traditionele criminaliteit neemt verder af cybercriminaliteit neemt verder toe
De misdaad is in de meeste gemeenten in de eerste negen maanden van het jaar tot een historisch laag niveau gedaald. Het aantal aangiftes van online criminaliteit zit daarentegen in de lift. Deze trend is te verklaren door de coronapandemie in combinatie met de strenge coronamaatregelen.