MS Exchange Server y la explotación masiva de sus vulnerabilidades

Microsoft lanzó parches fuera de banda para varias vulnerabilidades de Exchange Server. Cuatro de estas vulnerabilidades, de acuerdo con la empresa, ya se están usando en ataques dirigidos, por lo que sería prudente instalar los parches lo antes posible.

¿Cuál es el riesgo?

Las cuatro vulnerabilidades más peligrosas que ya se están explotando permiten que los atacantes pongan en marcha un ataque de tres etapas. Primero, acceden a un servidor de Exchange, después crean un shell web para acceso remoto al servidor, y, por último, utilizan ese acceso para robar los datos de la red de la víctima. Las vulnerabilidades son:

• CVE-2021-26855: puede usarse para un ataque de falsificación de solicitud del lado del servidor, lo que genera un código de ejecución remoto;
• CVE-2021-26857: puede utilizarse para ejecutar códigos arbitrarios de parte del sistema (aunque requiere permisos de administrador o haber explotado la vulnerabilidad anterior);
• CVE-2021-26858 y CVE-2021-27065: el atacante puede utilizarlas para sobrescribir los archivos en el servidor.

Los cibercriminales utilizan las cuatro vulnerabilidades en conjunto; sin embargo, de acuerdo con Microsoft, en lugar de un ataque inicial, a veces utilizan credenciales robadas y se autentican a sí mismos en el servidor sin utilizar la vulnerabilidad CVE-2021-26855.

Además, el mismo parche arregla otras vulnerabilidades menores en Exchange que no están (hasta donde sabemos) relacionadas directamente con los ataques dirigidos activos.

¿Quién está en riesgo?

Estas vulnerabilidades no afecta la versión de la nube de Exchange; solo son una amenaza para los servidores instalados dentro de la infraestructura. De manera inicial Microsoft lanzó actualizaciones para Microsoft Exchange Server 2013, Microsoft Exchange Server 2016 y Microsoft Exchange Server 2019, y una actualización de “Defense in Depth” adicional para Microsoft Exchange Server 2010. Sin embargo, debido a la gravedad de la situación, también agregaron después soluciones para servidores de Exchange obsoletos.

De acuerdo con los investigadores de Microsoft, fueron los hackers del grupo Hafnium quienes aprovecharon la vulnerabilidades para robar información confidencial. Sus objetivos incluyen empresas industriales, investigadores de enfermedades infecciosas, bufetes de abogados, organizaciones sin fines de lucro y analistas políticos de los Estados Unidos. Se desconoce el número exacto de víctimas, pero de acuerdo con las fuentes de KrebsOnSecurity, al menos 30 000 organizaciones en los Estados Unidos, incluidas pequeñas empresas, administraciones locales, y gobiernos locales, fueron hackeadas mediante estas vulnerabilidades. Nuestros expertos encontraron que no solo las organizaciones estadounidenses están en peligro: los cibercriminales de todo el mundo están usando estás vulnerabilidades.  Puedes encontrar más información sobre la geografía del ataque en la publicación de Securelist.

¿Cómo mantenerse seguro de los ataques en MS Exchange

• En primer lugar, parcha tu instalación de Microsoft Exchange Server. Si tu empresa no puede instalar actualizaciones, Microsoft recomienda múltiples soluciones.
• De acuerdo con Microsoft, negar el acceso no confiable al servidor de Exchange en el puerto 443, o, en general, limitar las conexiones desde fuera de la red corporativa puede detener la fase inicial del ataque. Pero esto no será útil si los atacantes ya están dentro de la infraestructura, o si logran que un usuario con permisos de administrador ejecute un archivo malicioso.
• Una solución de tipo Endpoint Detection and Response (si cuentas con expertos internos) o especialistas en el servicio de Detección administrada y respuesta pueden detectar este comportamiento malicioso.
• Siempre recuerda que todas las computadoras conectadas al Internet, por medio de un servidor o estación de trabajo, necesitan de una solución de seguridad de endpoints confiable para evitar exploits y detectar de manera proactiva el comportamiento malicioso.