Microsoft insta a los clientes a mantener actualizados sus servidores de Exchange y a tomar medidas para reforzar el entorno, como habilitar Windows Extended Protection y configurar la firma basada en certificados de las cargas útiles de serialización de PowerShell.
Los atacantes que buscan explotar los servidores de Exchange sin parches no van a desaparecer , dijo el equipo de Exchange del gigante tecnológico en una publicación. Hay demasiados aspectos de los entornos de Exchange locales sin parches que son valiosos para los malos actores que buscan filtrar datos o cometer otros actos maliciosos .
Microsoft también enfatizó que las mitigaciones emitidas por la compañía son solo una solución provisional y que pueden volverse insuficientes para proteger contra todas las variaciones de un ataque , lo que requiere que los usuarios instalen las actualizaciones de seguridad necesarias para proteger los servidores.
Se ha demostrado que Exchange Server es un vector de ataque lucrativo en los últimos años, con una serie de fallas de seguridad en el software armado como día cero para piratear sistemas.
olo en los últimos dos años, se han descubierto varios conjuntos de vulnerabilidades en Exchange Server, incluidos ProxyLogon , ProxyOracle , ProxyShell , ProxyToken , ProxyNotShell y un bypass de mitigación de ProxyNotShell conocido como OWASSRF , algunos de los cuales han sido objeto de una explotación generalizada en la naturaleza.
Bitdefender, en un aviso técnico publicado esta semana, describió a Exchange como un objetivo ideal , al tiempo que describió algunos de los ataques del mundo real que involucran las cadenas de exploits ProxyNotShell/OWASSRF desde finales de noviembre de 2022.
Existe una red compleja de servicios frontend y backend [en Exchange], con código heredado para proporcionar compatibilidad con versiones anteriores , señaló Martin Zugec de Bitdefender . Los servicios de back-end confían en las solicitudes de la capa de front-end [Servicios de acceso de cliente] .
Otra razón es el hecho de que varios servicios de back-end se ejecutan como el propio Exchange Server, que viene con privilegios de SISTEMA, y que los exploits podrían otorgar al atacante acceso no autorizado al servicio remoto de PowerShell , allanando el camino para la ejecución de comandos maliciosos.
Con ese fin, los ataques que utilizan las fallas de ProxyNotShell y OWASSRF como armas se han dirigido a las industrias de artes y entretenimiento, consultoría, derecho, fabricación, bienes raíces y venta al por mayor ubicadas en Austria, Kuwait, Polonia, Turquía y los EE. UU.
Estos tipos de ataques de falsificación de solicitudes del lado del servidor ( SSRF ) permiten que un adversario envíe una solicitud diseñada desde un servidor vulnerable a otros servidores para acceder a recursos o información a los que de otro modo no se puede acceder directamente , dijo la compañía rumana de ciberseguridad.
Se dice que la mayoría de los ataques son oportunistas en lugar de enfocados y dirigidos, y las infecciones culminan en el intento de implementación de shells web y software de administración y monitoreo remoto (RMM) como ConnectWise Control y GoTo Resolve.
Los shells web no solo ofrecen un mecanismo de acceso remoto persistente, sino que también permiten a los delincuentes realizar una amplia gama de actividades de seguimiento e incluso vender el acceso a otros grupos de piratas informaticos para obtener ganancias.
En algunos casos, los servidores de ensayo utilizados para alojar las cargas útiles ya eran servidores de Microsoft Exchange comprometidos, lo que sugiere que se pudo haber aplicado la misma técnica para expandir la escala de los ataques.
También se observaron esfuerzos fallidos realizados por los adversarios para descargar Cobalt Strike, así como un implante basado en Go con nombre en código GoBackClient que viene con capacidades para recopilar información del sistema y generar shells inversos.
El abuso de las vulnerabilidades de Microsoft Exchange también ha sido una tactica recurrente empleada por UNC2596 (también conocido como Tropical Scorpius), los operadores del ransomware Cuba (también conocido como COLDDRAW), con un ataque que aprovecha la secuencia de explotación de ProxyNotShell para eliminar el programa de descarga BUGHATCH .
“Si bien el vector de infección inicial sigue evolucionando y los actores de amenazas aprovechan rapidamente cualquier nueva oportunidad, sus actividades posteriores a la explotación son familiares”, dijo Zugec. La mejor protección contra los ataques cibernéticos modernos es una arquitectura de defensa en profundidad .
FUENTE: THN