image

CISA: duizenden Exchange-servers al voor installatie van updates besmet

dinsdag 23 maart 2021, 16:04 door Redactie, 3 reacties

Op internet zijn duizenden Exchange-servers te vinden die al voor het installeren van beveiligingsupdates door aanvallers zijn besmet met malware. Doordat de machines inmiddels up-to-date zijn kunnen organisaties een vals gevoel van veiligheid hebben en denken dat ze zijn beschermd, zo stelt Brandon Wales, hoofd van het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security.

De kwetsbaarheden in Exchange maken het mogelijk voor aanvallers om kwetsbare servers op afstand over te nemen en daarvandaan bijvoorbeeld andere systemen in het bedrijfsnetwerk aan te vallen. Microsoft rolde op 2 maart noodpatches voor de kwetsbaarheden uit. Die werden echter al voor het uitkomen van de updates misbruikt. Volgens Wales zijn er verbeteringen zichtbaar als het om de uitrol van patches gaat maar is er nog veel werk aan de winkel.

"We willen dat organisaties gaan onderzoeken of ze zijn gecompromitteerd. Patchen is niet voldoende", aldus Wales tijdens een lezing voor het Auburn University’s McCrary Institute for Cyber and Critical Infrastructure Security. Wanneer een aanvaller al voor de installatie van updates toegang tot de server heeft gekregen kan die een webshell installeren en zo toegang tot de machine behouden, ook al worden de updates vervolgens geïnstalleerd.

"Helaas weten we van bedrijven die scans uitvoeren naar kwetsbare en gecompromitteerde Exchange-servers dat er letterlijk duizenden gecompromitteerde servers zijn die op het moment zijn gepatcht. En deze eigenaren kunnen denken dat ze zijn beschermd, maar dat is niet het geval", merkte de CISA-directeur op. Hij deed dan ook nogmaals een oproep om naar signalen van mogelijk gecompromitteerde servers te kijken.

Reacties (3)
23-03-2021, 23:12 door Anoniem
Het lijkt wel net als bij de citrix kwetsbaarheid een jaar geleden, als je gewaarschuwd wordt moet je direct handelen / isoleren / patchen / advisory opvolgen. Doe je dat niet, dan hang je dezelfde dag nog en ben je vrijwel zeker gehackt, daar kun je gwoon van uitgaan

Ik me zo beheerders voor de geest halen die denken, het is 5 uur, doe het morgen wel....
24-03-2021, 11:49 door Anoniem
Wanneer een aanvaller al voor de installatie van updates toegang tot de server heeft gekregen kan die een webshell installeren en zo toegang tot de machine behouden, ook al worden de updates vervolgens geïnstalleerd.
Maar daar heeft Microsoft toch scantools voor uitgebracht?
En je kunt zelf ook nog op onderzoek uitgaan.

En anders volg je het hier populaire advies van "als je denkt dat je gehacked bent dan verschroot je alle servers en installeer je nieuwe machines van scratch, want je weet nooit waar ze allemaal al binnen zijn en wellicht is je firmware geflashed en je processor microcode gehacked en je firewall overgenomen dus gooi nou maar alles weg!".
24-03-2021, 12:17 door Anoniem
Door Anoniem: Het lijkt wel net als bij de citrix kwetsbaarheid een jaar geleden, als je gewaarschuwd wordt moet je direct handelen / isoleren / patchen / advisory opvolgen. Doe je dat niet, dan hang je dezelfde dag nog en ben je vrijwel zeker gehackt, daar kun je gwoon van uitgaan

Ik me zo beheerders voor de geest halen die denken, het is 5 uur, doe het morgen wel....
Zou ik ook doen voor 4000 bruto per maand maar een bedrijf die het voor elkaar heeft heeft er natuurlijk een procedure voor.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.