Microsoft exhorte les clients \u00e0 maintenir leurs serveurs Exchange \u00e0 jour et \u00e0 prendre des mesures pour renforcer l’environnement, telles que l’activation Protection \u00e9tendue de Windows<\/a> et configuration signature bas\u00e9e sur des certificats<\/a> des charges utiles de s\u00e9rialisation PowerShell.<\/p>\n “Les attaquants qui cherchent \u00e0 exploiter des serveurs Exchange non corrig\u00e9s ne vont pas dispara\u00eetre”, a d\u00e9clar\u00e9 l’\u00e9quipe Exchange du g\u00e9ant de la technologie. m’a dit<\/a> dans un poste. “Il y a trop d’aspects des environnements Exchange sur site non corrig\u00e9s qui sont pr\u00e9cieux pour les acteurs malveillants qui cherchent \u00e0 exfiltrer des donn\u00e9es ou \u00e0 commettre d’autres actes malveillants.”<\/p>\n Microsoft a \u00e9galement soulign\u00e9 que les mesures d’att\u00e9nuation \u00e9mises par la soci\u00e9t\u00e9 ne sont qu’une solution palliative et qu’elles peuvent “devenir insuffisantes pour se prot\u00e9ger contre toutes les variantes d’une attaque”, obligeant les utilisateurs \u00e0 installer les mises \u00e0 jour de s\u00e9curit\u00e9 n\u00e9cessaires pour s\u00e9curiser les serveurs.<\/p>\n Exchange Server s’est av\u00e9r\u00e9 \u00eatre un vecteur d’attaque lucratif<\/a> ces derni\u00e8res ann\u00e9es, avec un certain nombre de failles de s\u00e9curit\u00e9 dans le logiciel transform\u00e9es en armes de type zero-day pour pirater les syst\u00e8mes.<\/p>\n Au cours des deux derni\u00e8res ann\u00e9es seulement, plusieurs ensembles de vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couverts dans Exchange Server – y compris ProxyLogon, ProxyOracle, ProxyShell, ProxyToken, ProxyNotShell et un contournement d’att\u00e9nuation ProxyNotShell connu sous le nom d’OWASSRF – dont certains ont fait l’objet d’une exploitation g\u00e9n\u00e9ralis\u00e9e dans la nature.<\/p>\n Bitdefender, dans un avis technique publi\u00e9 cette semaine, a d\u00e9crit Exchange comme une “cible id\u00e9ale”, tout en relatant certaines des attaques r\u00e9elles impliquant les cha\u00eenes d’exploitation ProxyNotShell \/ OWASSRF depuis fin novembre 2022.<\/p>\n “Il y a un r\u00e9seau complexe<\/a> de services frontend et backend [in Exchange]avec un code h\u00e9rit\u00e9 pour assurer la r\u00e9trocompatibilit\u00e9 \u00bb, Martin Zugec de Bitdefender c’est not\u00e9<\/a>. “Les services backend font confiance aux requ\u00eates du front-end [Client Access Services] couche.”<\/p>\n Une autre raison est le fait que plusieurs services principaux s’ex\u00e9cutent en tant qu’Exchange Server lui-m\u00eame, qui est fourni avec des privil\u00e8ges SYSTEM, et que les exploits pourraient accorder \u00e0 l’attaquant un acc\u00e8s malveillant au PowerShell distant<\/a> service, ouvrant ainsi la voie \u00e0 l’ex\u00e9cution de commandes malveillantes.<\/p>\n \u00c0 cette fin, les attaques militarisant les failles ProxyNotShell et OWASSRF ont cibl\u00e9 les secteurs des arts et du divertissement, du conseil, du droit, de la fabrication, de l’immobilier et de la vente en gros situ\u00e9s en Autriche, au Kowe\u00eft, en Pologne, en Turquie et aux \u00c9tats-Unis.<\/p>\n “Ces types de falsification de requ\u00eate c\u00f4t\u00e9 serveur (SSRF<\/a>) permettent \u00e0 un adversaire d’envoyer une requ\u00eate sp\u00e9cialement con\u00e7ue \u00e0 partir d’un serveur vuln\u00e9rable \u00e0 d’autres serveurs pour acc\u00e9der \u00e0 des ressources ou des informations qui ne sont autrement pas directement accessibles \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 roumaine de cybers\u00e9curit\u00e9.<\/p>\n La plupart des attaques seraient opportunistes plut\u00f4t que cibl\u00e9es et cibl\u00e9es, les infections aboutissant \u00e0 la tentative de d\u00e9ploiement de shells Web et de logiciels de surveillance et de gestion \u00e0 distance (RMM) tels que ConnectWise Control et GoTo Resolve.<\/p>\n Les shells Web offrent non seulement un m\u00e9canisme d’acc\u00e8s \u00e0 distance persistant, mais permettent \u00e9galement aux acteurs criminels de mener un large \u00e9ventail d’activit\u00e9s de suivi et m\u00eame de vendre l’acc\u00e8s \u00e0 d’autres groupes de pirates \u00e0 des fins lucratives.<\/p>\n Dans certains cas, les serveurs interm\u00e9diaires utilis\u00e9s pour h\u00e9berger les charges utiles ont \u00e9t\u00e9 compromis par les serveurs Microsoft Exchange eux-m\u00eames, ce qui sugg\u00e8re que la m\u00eame technique a pu \u00eatre appliqu\u00e9e pour \u00e9tendre l’\u00e9chelle des attaques.<\/p>\n On a \u00e9galement observ\u00e9 des efforts infructueux entrepris par des adversaires pour t\u00e9l\u00e9charger Cobalt Strike ainsi qu’un implant bas\u00e9 sur Go nomm\u00e9 GoBackClient qui est livr\u00e9 avec des capacit\u00e9s pour collecter des informations syst\u00e8me et g\u00e9n\u00e9rer des coques invers\u00e9es.<\/p>\n L’abus des vuln\u00e9rabilit\u00e9s de Microsoft Exchange a \u00e9galement \u00e9t\u00e9 une tactique r\u00e9currente employ\u00e9e par UNC2596 (alias Tropical Scorpius), les op\u00e9rateurs de Cuba<\/a> (aka COLDDRAW) ransomware, avec une attaque tirant parti de la s\u00e9quence d’exploitation ProxyNotShell pour supprimer le BUGHATCH<\/a> t\u00e9l\u00e9chargeur.<\/p>\n “Alors que le vecteur d’infection initial continue d’\u00e9voluer et que les acteurs de la menace exploitent rapidement toute nouvelle opportunit\u00e9, leurs activit\u00e9s post-exploitation sont famili\u00e8res”, a d\u00e9clar\u00e9 Zugec. “La meilleure protection contre les cyberattaques modernes est une architecture de d\u00e9fense en profondeur.”<\/p>\n <\/p>\n![\"Microsoft\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/Microsoft-exhorte-les-clients-a-securiser-les-serveurs-Exchange-sur.png\" "\\"Microsoft\\"\/")
<\/div>\n