Microsoft insta a los clientes a mantener actualizados sus servidores de Exchange y a tomar medidas para reforzar el entorno, como habilitar Protección extendida de Windows y configurando firma basada en certificados de las cargas útiles de serialización de PowerShell.
«Los atacantes que buscan explotar los servidores de Exchange sin parches no van a desaparecer», dijo el equipo de Exchange del gigante tecnológico. dicho en una publicación «Hay demasiados aspectos de los entornos de Exchange locales sin parches que son valiosos para los malos actores que buscan filtrar datos o cometer otros actos maliciosos».
Microsoft también enfatizó que las mitigaciones emitidas por la compañía son solo una solución provisional y que pueden «volverse insuficientes para proteger contra todas las variaciones de un ataque», lo que requiere que los usuarios instalen las actualizaciones de seguridad necesarias para proteger los servidores.
Exchange Server ha demostrado ser un vector de ataque lucrativo en los últimos años, con una serie de fallas de seguridad en el software armado como día cero para piratear sistemas.
Solo en los últimos dos años, se han descubierto varios conjuntos de vulnerabilidades en Exchange Server, incluidos ProxyLogon, ProxyOracle, ProxyShell, ProxyToken, ProxyNotShell y un bypass de mitigación de ProxyNotShell conocido como OWASSRF, algunos de los cuales han sido objeto de una explotación generalizada en la naturaleza.
Bitdefender, en un aviso técnico publicado esta semana, describió a Exchange como un «objetivo ideal», al tiempo que describió algunos de los ataques del mundo real que involucran las cadenas de exploits ProxyNotShell/OWASSRF desde finales de noviembre de 2022.
«Hay un red compleja de servicios frontend y backend [in Exchange]con código heredado para proporcionar compatibilidad con versiones anteriores», Martin Zugec de Bitdefender señalado. «Los servicios de back-end confían en las solicitudes del front-end [Client Access Services] capa.»
Otra razón es el hecho de que varios servicios de back-end se ejecutan como Exchange Server, que viene con privilegios de SISTEMA, y que las vulnerabilidades podrían otorgar al atacante acceso malintencionado a la PowerShell remoto servicio, allanando efectivamente el camino para la ejecución de comandos maliciosos.
Con ese fin, los ataques que utilizan las fallas de ProxyNotShell y OWASSRF como armas se han dirigido a las industrias de artes y entretenimiento, consultoría, derecho, fabricación, bienes raíces y venta al por mayor ubicadas en Austria, Kuwait, Polonia, Turquía y los EE. UU.
«Estos tipos de falsificación de solicitudes del lado del servidor (SSRF) permiten a un adversario enviar una solicitud diseñada desde un servidor vulnerable a otros servidores para acceder a recursos o información a los que de otro modo no se puede acceder directamente», dijo la compañía rumana de ciberseguridad.
Se dice que la mayoría de los ataques son oportunistas en lugar de enfocados y dirigidos, y las infecciones culminan en el intento de implementación de shells web y software de administración y monitoreo remoto (RMM) como ConnectWise Control y GoTo Resolve.
Los shells web no solo ofrecen un mecanismo de acceso remoto persistente, sino que también permiten a los delincuentes realizar una amplia gama de actividades de seguimiento e incluso vender el acceso a otros grupos de piratas informáticos para obtener ganancias.
En algunos casos, los servidores de prueba utilizados para alojar las cargas útiles se vieron comprometidos por los propios servidores de Microsoft Exchange, lo que sugiere que es posible que se haya aplicado la misma técnica para expandir la escala de los ataques.
También se observaron esfuerzos fallidos realizados por los adversarios para descargar Cobalt Strike, así como un implante basado en Go con nombre en código GoBackClient que viene con capacidades para recopilar información del sistema y generar shells inversos.
El abuso de las vulnerabilidades de Microsoft Exchange también ha sido una táctica recurrente empleada por UNC2596 (también conocido como Tropical Scorpius), los operadores de Cuba (también conocido como COLDDRAW), con un ataque que aprovecha la secuencia de explotación de ProxyNotShell para eliminar el BUGHATCH descargador
“Si bien el vector de infección inicial sigue evolucionando y los actores de amenazas aprovechan rápidamente cualquier nueva oportunidad, sus actividades posteriores a la explotación son familiares”, dijo Zugec. «La mejor protección contra los ciberataques modernos es una arquitectura de defensa en profundidad».