Lisboa, 11 de março de 2021 – Numa altura em que a comunidade de cibersegurança ainda lida com os efeitos do ataque SolarWinds, o Microsoft Threat Intelligence Center (MSTIC) divulga informações sobre uma outra campanha generalizada que tem como alvos servidores Exchange.
Trata-se de uma ciberameaça patrocinada por um estado, denominada HAFNIUM, que está a explorar vulnerabilidades de dia zero encontradas em software de servidor Exchange on-premises. São quatro as vulnerabilidades identificadas pelo MSTIC desde a ocorrência do incidente, sendo que visam exclusivamente servidores Exchange on-premises, o que significa que os servidores Cloud Exchange não são afetados por estas vulnerabilidades.
O ataque é realizado pela exploração, em primeiro lugar, de uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF), permitindo que todo o conteúdo da caixa de correio de um utilizador seja roubado. O invasor apenas necessita de saber o servidor que está a executar o software Exchange e a conta que pretende atacar. O atacante encadeia então este exploit com um exploit secundário, que permite a execução remota de código no servidor Exchange de destino. Outra vulnerabilidade também faz parte destes exploit encadeado, permitindo que os hackers gravem um ficheiro em qualquer caminho no servidor. Por último, a quarta vulnerabilidade permite executar código como SYSTEM após explorar uma vulnerabilidade insegura no
A Microsoft lançou um patch para todas as quatro vulnerabilidades, assim como para outras, e solicita a todos que tenham servidores Exchange locais que corrijam os seus sistemas de imediato. Embora a ameaça HAFNIUM seja a primeira a explorar estas vulnerabilidades, a Microsoft reporta um aumento no número de ataques a sistemas não corrigidos por parte de diferentes ciberameaças.
Medidas de resposta a estas ameaças
Para manter os sistemas protegidos contra estas vulnerabilidades, a WatchGuard faz as seguintes recomendações:
- Identificar e corrigir sistemas Exchange Server vulneráveis com as atualizações de segurança emitidas pela Microsoft
- Recorrer a mitigações alternativas fornecidas pela Microsoft sempre que não for possível implementar patches de imediato.
- Usar o script PowerShell da Microsoft para procurar indicadores de comprometimento no seu servidor Exchange.
- Ativar os serviços de segurança da WatchGuard para uma proteção adicional