建站
咨詢
售后
建站咨詢
新聞中心
微軟發(fā)布了緊急補(bǔ)丁，以解決Exchange Server中此前未公開的四個(gè)安全漏洞。據(jù)稱，一些威脅行為者正在積極利用這些漏洞，以期進(jìn)行數(shù)據(jù)盜竊。
微軟威脅情報(bào)中心(Microsoft Threat Intelligence Center，MSTIC)將攻擊描述為“有限的和有針對(duì)性的”，攻擊者利用這些漏洞訪問(wèn)了本地Exchange服務(wù)器，進(jìn)而授予了對(duì)電子郵件帳戶的訪問(wèn)權(quán)限，并為安裝其他惡意軟件做好了鋪墊，以方便長(zhǎng)期訪問(wèn)受害者環(huán)境。
這家科技巨頭最初將此次活動(dòng)高度自信地歸因于一個(gè)被稱為“鉿(HAFNIUM)”的威脅者，當(dāng)然不排除其他組織也可能參與其中的可能性。
Microsoft首次討論該團(tuán)體的策略、技術(shù)和程序(TTP)，將HAFNIUM描繪為“技術(shù)高超和較為熟練的攻擊者”，主要針對(duì)美國(guó)一系列行業(yè)中的實(shí)體企業(yè)以從中泄露敏感信息，包括傳染病研究人員、律師事務(wù)所、高等教育機(jī)構(gòu)、國(guó)防承包商，政策智囊團(tuán)和非政府組織。
據(jù)信，HAFNIUM通過(guò)利用美國(guó)租用的虛擬私人服務(wù)器來(lái)策劃其攻擊，以掩蓋其惡意活動(dòng)。
攻擊分為三個(gè)階段，其中包括使用密碼被盜或通過(guò)使用以前未發(fā)現(xiàn)的漏洞來(lái)訪問(wèn)Exchange服務(wù)器，然后部署Web Shell來(lái)遠(yuǎn)程控制受感染的服務(wù)器。攻擊鏈中的最后一個(gè)鏈接利用遠(yuǎn)程訪問(wèn)從組織網(wǎng)絡(luò)中竊取郵箱，并將收集到的數(shù)據(jù)導(dǎo)出到文件共享站點(diǎn)(例如MEGA)。
為了實(shí)現(xiàn)這一目標(biāo)，Volexity和Dubex的研究人員發(fā)現(xiàn)了多達(dá)四個(gè)0day漏洞，它們被用作攻擊鏈的一部分：
- CVE-2021-26855：Exchange Server中的服務(wù)器端請(qǐng)求偽造(SSRF)漏洞
- CVE-2021-26857：統(tǒng)一消息服務(wù)中的不安全反序列化漏洞
- CVE-2021-26858：Exchange中的身份驗(yàn)證后任意文件寫入漏洞
- CVE-2021-27065：Exchange中的身份驗(yàn)證后任意文件寫入漏洞
盡管這些漏洞會(huì)影響Microsoft Exchange Server 2013、Microsoft Exchange Server 2016和Microsoft Exchange Server 2019，但微軟表示，出于“深入防御”的目的，將要更新Exchange Server 2010。
此外，由于最初的攻擊需要與Exchange服務(wù)器端口443的不受信任的連接，因此該公司指出，組織可以通過(guò)限制不受信任的連接或使用虛擬網(wǎng)絡(luò)將Exchange服務(wù)器與外部訪問(wèn)隔離來(lái)緩解此問(wèn)題。
微軟除了強(qiáng)調(diào)此次漏洞利用與SolarWinds相關(guān)的漏洞沒有關(guān)聯(lián)外，還表示已向有關(guān)美國(guó)政府機(jī)構(gòu)通報(bào)了新一波攻擊。但該公司沒有詳細(xì)說(shuō)明有多少組織成為攻擊目標(biāo)，攻擊是否成功。
Volexity指出入侵活動(dòng)大概始于2021年1月6日左右，并警告稱它已檢測(cè)到多個(gè)Microsoft Exchange漏洞在野外被積極利用，以用于竊取電子郵件和破壞網(wǎng)絡(luò)。
“雖然攻擊者最初為了盡可能的逃避監(jiān)測(cè)，似乎只是竊取了電子郵件，但他們最近轉(zhuǎn)而積極主動(dòng)地發(fā)動(dòng)攻擊以取得立足之地?！盫olexity的研究人員Josh Grunzweig，Matthew Meltzer，Sean Koessel，Steven Adair和Thomas Lancaster在一篇文章中解釋說(shuō)。
“從Volexity的角度來(lái)看，這種利用似乎涉及多個(gè)操作員，他們使用各種各樣的工具和方法來(lái)轉(zhuǎn)儲(chǔ)憑證、橫向移動(dòng)以及進(jìn)一步的后門系統(tǒng)?！?/p>
除了補(bǔ)丁之外，微軟高級(jí)威脅情報(bào)分析師凱文·博蒙特(Kevin beumont)還創(chuàng)建了一個(gè)nmap插件，該插件可用于掃描網(wǎng)絡(luò)以尋找潛在的易受攻擊的Microsoft Exchange服務(wù)器。
盡管往常一般在每個(gè)月的第二個(gè)星期二發(fā)布補(bǔ)丁，但考慮到這些漏洞的嚴(yán)重性，此次提前一周發(fā)布了補(bǔ)丁也就不足為奇了。建議使用易受攻擊版本的Exchange Server的客戶立即安裝更新，以阻止這些攻擊。
微軟公司客戶安全公司副總裁湯姆·伯特(Tom Burt)說(shuō)：“盡管我們已經(jīng)迅速進(jìn)行應(yīng)對(duì)以部署針對(duì)Hafnium漏洞的更新，但我們知道許多犯罪集團(tuán)也將迅速采取行動(dòng)，以在系統(tǒng)未打補(bǔ)丁加以積極利用?！薄凹皶r(shí)應(yīng)用已經(jīng)發(fā)布的補(bǔ)丁是抵御這種攻擊的最佳方法。”
本文翻譯自：https://thehackernews.com/2021/03/urgent-4-actively-exploited-0-day-flaws.html如若轉(zhuǎn)載，請(qǐng)注明原文地址。
網(wǎng)站名稱：緊急情況—在MicrosoftExchange中發(fā)現(xiàn)了4個(gè)頻繁利用的0day漏洞
分享網(wǎng)址：http://m.5511xx.com/article/coosjjh.html
