Criminelen stelen 11.000 wachtwoorden via Outlook-mailserver
Criminelen hebben door het infecteren van een Outlook-mailserver van een Amerikaans bedrijf meer dan 11.000 wachtwoorden met bijbehorende gebruikersnamen weten te stelen. Dat meldt beveiligingsbedrijf Cybereason in een rapport (pdf). Om welk bedrijf het precies gaat is niet bekendgemaakt.
Bij de aanval hadden de aanvallers een malafide module aan de Microsoft Outlook Web Application (OWA) toegevoegd, de webmailserver waar het bedrijf gebruik van maakte. Via de module konden de aanvallers alle inloggegevens opslaan. Daarnaast diende de module ook als backdoor. Het aangevallen bedrijf gebruikte OWA om gebruikers op afstand toegang tot Outlook te geven.
Volgens het beveiligingsbedrijf zorgde deze configuratie van OWA voor een ideaal aanvalsplatform, omdat de server zowel intern als extern was blootgesteld. Aangezien OWA-authenticatie op domeinwachtwoorden is gebaseerd, kan een aanvaller met toegang tot de OWA-server zo de domeinwachtwoorden van de hele organisatie in handen krijgen. De module bleek meer dan 11.000 wachtwoorden te hebben opgeslagen. Hoe de OWA-server in eerste instantie geïnfecteerd kon raken laat Cybereason niet weten.
Later staat er OWA-server, ook dit is dezelfde Microsoft Exchange server.
Volgens mij moet je exchange beheer rechten hebben om modules toe te voegen aan OWA.
Laatste zin staat dat ze niet vermelden hoe de server in eerste instantie geinfecteerd kon raken...
Dat laatste is denk gewoon omdat ze met een account met exchange rechten hebben kunnen inloggen...
Ook geven ze geen hash van de comprimised DLL (zodat andere het kunnen controleren) of een suggestie hoe deze op de Exchange server is gekomen (via een exploit? Of doordat admin credentials al eerder gejat waren?). Ook niet wat voor security maatregelen er aanwezig waren en waren omzeild (reverse proxy, AV etc..). Tevens is dit maar één enkele keer geconstateerd.
Het gebrek aan te controleren informatie doet mij inderdaad denken dat dit meer een reclame stunt is voor het security bedrijf dan daadwerkelijk een nuttig bericht.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
