A Microsoft está atribuindo esses ataques a uma organização de espionagem cibernética conhecida como HAFNIUM, que opera na China continental.

O Microsoft Exchange Server é usado por milhões de organizações para e-mail e calendário. Esse vetor de exploração tem como alvo os Microsoft Exchange Servers capazes de receber conexões não confiáveis ​​de uma fonte externa. Entre seus recursos está um ataque de execução remota de código (Remote Code Execution - RCE) que permite que os invasores instalem backdoors na rede para uso posterior. Depois de instalados, esses backdoors podem permanecer ativos mesmo após aplicação do patch para o exploit original.

No último 2 de março, a Microsoft lançou vários patches para suas versões locais do Exchange Server 2013, Exchange Server 2016 e Exchange Server 2019. Esses patches vieram em resposta a vários ataques dirigidos às vulnerabilidades CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 e CVE-2021-27065. O serviço online do Microsoft Exchange Server não está afetado. Desde o lançamento desses patches, o HAFNIUM acelerou a exploração dessas vulnerabilidades, provavelmente procurando comprometer o máximo de organizações possível antes que as empresas possam aplicar os patches da Microsoft.

De acordo com a Microsoft, HAFNIUM é um grupo de espionagem cibernética patrocinado pelo estado que visa principalmente entidades nos Estados Unidos em uma série de setores da indústria, incluindo pesquisadores de doenças infecciosas, escritórios de advocacia, instituições de ensino superior, empresas de defesa, think tanks políticas e ONGs. Seu objetivo principal é obter acesso a redes valiosas com a finalidade de vazar dados para sites de compartilhamento de arquivos como o MEGA. No entanto, relatórios recentes mostraram que esta é agora uma campanha global sendo aproveitada por outros atacantes como resultado da reversão do patch para causar mais danos.

A equipes do FortiGuard Labs e da Microsoft entraram imediatamente em contato por meio do MAPP (Microsoft Active Protections Program), um programa do qual a Fortinet participa desde 2005. A Fortinet publicou um relatório de Threat Signal com detalhes sobre esse exploit em 3 de março. Ela também lançou quatro patches FortiGuard IPS, em 3 e 4 de março, para proteger os clientes Fortinet desses ataques. As soluções FortiEDR e FortiXDR protegem automaticamente os clientes desses exploits com atualizações permanentes.

O que é preciso fazer?

Se você acredita que sua organização está vulnerável a esse exploit, recomendamos as seguintes ações:

1. Aplique um “hot patch”. Esta é a estratégia de atualizar os dispositivos de segurança para bloquear automaticamente as tentativas de exploração.

2. Conduza um inventário de ativos para identificar todos os Microsoft Exchange Servers afetados implantados em sua organização.

3. Execute verificações de versão para ver se eles foram corrigidos.

4. Aplique os patches apropriados sempre que possível. Dispositivos que não podem ter patches aplicados devem ser protegidos por um dispositivo de segurança capaz de detectar e prevenir tal vulnerabilidade.

5. Aplique varredura avançada aproveitando os indicadores de compromisso conhecidos para detectar brechas e comportamentos anômalos resultantes de uma violação bem-sucedida, como o uso de um backdoor não autorizado.

6. Os clientes da Fortinet podem usar o FortiVPN para separar o servidor Exchange do acesso externo.

Devido à facilidade de interrupção que esse exploit permite e ao potencial de danos às operações diárias, é essencial que as organizações mantenham todas as assinaturas de antivírus (AV) e IPS atualizadas. É fundamental que as organizações estabeleçam uma avaliação regular de segurança e uma rotina de correção. Isso garante que todas as vulnerabilidades conhecidas do fornecedor sejam corrigidas e atualizadas de forma constante, evitando que os invasores estabeleçam um ponto de apoio dentro da rede.