Europese Bankenautoriteit getroffen door inbraak op Exchange-servers
Aanvallers zijn erin geslaagd om in te breken op de Exchange-servers van de Europese Bankenautoriteit (EBA). Na ontdekking van de inbraak werd besloten om alle e-mailsystemen offline te halen. De aanvallers maakten gebruik van kwetsbaarheden in Exchange Server 2013, 2016 en 2019 waarvoor Microsoft vorige week een noodpatch uitbracht. Via de beveiligingslekken kan een aanvaller op afstand toegang tot kwetsbare Exchange-servers krijgen.
Het onderzoek naar de aanval is nog gaande, maar uit de voorlopige resultaten blijkt dat er geen gegevens zijn gestolen. Ook zijn er geen aanwijzingen gevonden dat de aanvallers toegang tot andere systemen dan de mailservers hebben gekregen. De EBA geeft aan aanvullende beveiligingsmaatregelen en monitoring te zullen treffen bij het herstellen van de mailservers en heeft naar zeggen alle mogelijke voorzorgsmaatregelen genomen om persoonsgegevens en andere data te beschermen.
Als ze batch-smtp hebben, dan zou het geen probleem moeten zijn. Maar blijkbaar hebben ze het anders ingericht.
Dit is een aanname...
Dinsdag avond 2-3-2021 werden de updates uitgebracht.
Zelf hebben wij woensdag ochtend 3-3-2021 deze geinstalleerd.
Ondanks snelle installatie, zagen we toch al een mislukte poging in de logs nog paar uur voordat de patch was geinstalleerd.
Gelukkig uit analyse zijn ze niet verder gekomen dan de poging, geen webshells etc...
De vraag is, defineer een "laks patch beleid"?
Direct patchen wanneer een update uitkomt is niet altijd mogelijk.
Probeer dit maar eens uit te leggen aan Directie en Management, waarbij er hoge Business behoefte is voor deze functionaliteit.
Je bedoelt misbruik van het lek wat er sinds vorig jaar al inzit? makkelijk lullen zo.
Wie zegt dat dat afgelopen week gebeurd is. Het kan ook zijn dat er al gehackt is, terwijl een patch nog niet voorhanden was.
Die club mag terug naar af en hun "autoriteit" inwisselen voor de term "comissie".
Ze staan duidelijk niet boven de materie en het Nationale bankwezen en kunnen het cohort van Europa brede scope dus niet aan.
Geeft meteen aan hoe duidelijk je niet van Microsoft Exchange moet willen zijn, hetgeen overigens niet van gisteren is.
Ook al biedt Exchange wel zo makkelijke autorisatie van IT apparaten, misschien niet zo handig als diezelfde apparaten geen dedicated devices zijn en ook met tele-vergader apps worden gebruikt zoals Zoom.
Apps waar investeerders met slechte reputatie achter zitten als het gaat om beveiliging als eerste prioriteit.
Lijkt me ook potentieel een mega gegevens lek dit.
Eenmaal toegang tot/langs de voordeur is replicatie van digitale middelen immers heel makkelijk / relatief slechter detecteerbaar dan verwijderen van gegevens.
Bij zo'n digitale inbraak figuurlijk gesproken ook geen extra meel / half-producten (geen meel) / hele producten (brood / gebak) verbruikt, dus je hebt deels niets aan het checken of er iets uit de inventaris-voorraad is weggenomen.
Doorgaans draaien die systemen continu, dus je zal niet per sé extra stroom verbruik, ruwe data verbruik e.d. detecteren.
Omdat een buitenstaander immers buiten de ingerichte toegang & gegevens-paden wist te geraken.
Dit was een gevalletje critical-in-the-wild,.. dat betekent dat je simpelweg de boel moet uitzetten (of loskoppelen van internet), of dat je er iets VOOR zet, een IPS of een desnoods een postfix server of een van ebay gekochte baracuda.
Dit is internet..., dat wacht niet op je patchrond van 3 weken proefdraaien... dit was een bekend lek, die al lang en breed uitgemeten was in de community en die al actief misbruikt werd... dan kun je niet meer wachten tot maandagmiddag als iedereen bij elkaar gekomen is om na 3 uur vergaderen over de kleur van een loopbrug ook nog even in de laatste 2 minuten te hebben over een patch van exchange.
Dit was een gevalletje critical-in-the-wild,.. dat betekent dat je simpelweg de boel moet uitzetten (of loskoppelen van internet), of dat je er iets VOOR zet, een IPS of een desnoods een postfix server of een van ebay gekochte baracuda.
Als je hem alleen voor mail gebruikt kun je alles behalve poort 25 inkomend dicht zetten en is http/https niet toegankelijk.
Waarom zou Exchange Online niet aan dezelfde bugs kunnen lijden als zelf gehoste Exchange?
Is dat een totaal ander code platform dan?
(zou me uiteraard niet verbazen als dat allemaal Linux was, maar ook niet als het gewoon Windows servers met een aangepaste versie van Exchange zijn)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
