Noodinstructies afgegeven voor meerdere kritieke kwetsbaarheden in Microsoft Exchange!

Gepubliceerd op 4 maart 2021 om 15:00

Het 'Cybersecurity and Infrastructure Security Agency' (CISA) van het Amerikaanse ministerie van 'Homeland Security' heeft noodinstructies afgegeven voor meerdere kritieke kwetsbaarheden in Microsoft Exchange. Federale overheidsinstanties in de VS moeten de instructies voor morgenmiddag hebben uitgevoerd.

Nood patches

Microsoft kwam dinsdag met nood patches voor vier beveiligingslekken in Exchange Server 2013, 2016 en 2019 die zijn aangevallen voordat de beveiligingsupdates beschikbaar waren. Via de kwetsbaarheden kregen aanvallers toegang tot Exchange-servers en aanwezige e-mailaccounts en konden aanvullende malware installeren om langere tijd toegang tot de omgeving van slachtoffers te behouden.

Vier kwetsbaarheden

Volgens Microsoft zijn de vier kwetsbaarheden in Exchange Server 2013, 2016 en 2019 op beperkte schaal bij gerichte aanvallen ingezet.

Van die vier lekken is CVE-2021-26855 het gevaarlijkst. Het betreft een 'server-side request forgery' (SSRF) kwetsbaarheid in Exchange waardoor een aanvaller willekeurige http-requests kan versturen en zich als de Exchange-server kan authenticeren. Op een schaal van 1 tot en met 10 wat betreft de ernst is deze kwetsbaarheid met een 9,1 beoordeeld. Om hoeveel en wat voor slachtoffers het precies gaat laat Microsoft niet weten.

De cyberaanval

  • Untrusted connection

De waargenomen aanvallen beginnen met het maken van een 'untrusted connection' naar een Exchange-server op poort 443.

Dit kan worden voorkomen door dergelijke verbindingen te verbieden of door de Exchange-server alleen via een VPN vanaf het internet toegankelijk te maken, aldus Microsoft. Deze maatregel beschermt tegen het eerste deel van de aanval. De overige kwetsbaarheden kunnen worden misbruikt wanneer een aanvaller al toegang tot de server heeft of een beheerder zover weet te krijgen om een kwaadaardig bestand te openen.

  • Webshells

Nadat de aanvallers via de zeroday lekken toegang tot de Exchange-server kregen installeerden ze webshells.

Via de webshell kan een aanvaller de server op afstand benaderen en allerlei code en commando's uitvoeren. Vaak worden webshells voor verdere aanvallen ingezet. Ook in dit geval gebruiken de aanvallers de webshells om data te stelen en aanvullende aanvallen uit te voeren om zo de omgeving van het slachtoffer verder te compromitteren.

Hafnium hackers

De aanvallen zijn volgens Microsoft uitgevoerd door een groep genaamd 'Hafnium' die vanuit China opereert. De groep zou het voornamelijk hebben voorzien op entiteiten in de Verenigde Staten, waaronder onderzoekers van infectieziektes, advocatenkantoren, onderwijsinstellingen, defensiebedrijven, politieke denktanks en ngo's.

Organisaties worden opgeroepen om de beschikbare beveiligingsupdates te installeren. In dit artikel geeft Microsoft verschillende Indicators of Compromise (IOC's) waarmee organisaties kunnen kijken of ze zijn gecompromitteerd.

Opgedragen actie CISA

Het CISA heeft nu een 'emergency directive' afgegeven waarin federale Amerikaanse overheidsinstanties worden opgedragen verschillende maatregelen uit te voeren.

Alle federale instanties moeten hun Exchange-servers op sporen van eventuele aanvallers controleren. Beschikt de instantie in kwestie niet over de vereiste expertise, dan moeten alle Exchange-server meteen worden losgekoppeld. Pas na toestemming van het CISA mogen deze organisaties hun Exchange-server opnieuw opbouwen en aansluiten.

Instanties die wel over de expertise voor forensisch onderzoek beschikken én sporen van aanvallers aantreffen moeten bovenstaande instructies ook volgen. Totdat deze instanties groen licht van het CISA hebben gekregen mag er geen gebruik van Exchange worden gemaakt. Tevens moet er in het geval van een ontdekte aanval meteen melding bij de cybersecurity dienst van 'Homeland Security' worden gemaakt. Wanneer onderzoekers geen sporen van aanvallers aantreffen moeten de betreffende servers direct worden geüpdatet mocht dat nog niet zijn gedaan.

Emergency Directive 21
PDF – 112,2 KB 306 downloads

Bron: microsoft.com, dhs.gov, security.nl

Meer info over ‘hacking’?

Tips of verdachte activiteiten gezien? Meld het hier of anoniem.

Hacking gerelateerde berichten

Het einde van ISDN is in zicht, overstappen op VOIP? Pas op voor PBX Hacking!

KPN wil de gebruikers echter graag op VoIP telefonie laten overschakelen, waarbij het internet de drager is van de gesprekken, en het uitdelen van nummers en het routeren van de gesprekken eenvoudig met software kan worden geregeld. ISDN onderhouden vindt KPN te duur, dus is aangekondigd dat ISDN gaat stoppen. Op 1 september 2019 is ISDN-2 aan de beurt, de ISDN-15, 20 en 30 verbindingen mogen nog een jaar langer blijven, tot 1 oktober 2021. Het aantal gewone telefoonaansluitingen, ISDN of analoog, is van 2008 tot 2016 gedaald van 7 miljoen naar minder dan 1 miljoen. Ongeveer 20% hiervan was ISDN, althans op het hoogtepunt. Met zo'n grote daling klinkt het natuurlijk logisch dat een goedkopere infrastructuur wordt aangeboden.

Lees meer »

Nederland levert Oekraïense hack verdachte uit aan VS

Nederland heeft een verdachte in een grote hack zaak uitgeleverd aan de Verenigde Staten. De Oekraïner Oleksii Petrovitsj Ivanov (31) zou miljoenen computers over de hele wereld hebben besmet met schadelijke software (malware) via besmette advertenties, zogeheten malvertising. Hij zit vast in de staat New Jersey, aldus het Amerikaanse ministerie van Justitie.

Lees meer »