Les attaques menées contre les serveurs Microsoft Exchange dans le monde entier par le groupe de menace Hafnium, parrainé par l'État chinois, auraient touché plus de 21 000 organisations. L'impact de ces attaques s'accroît à mesure que les quatre vulnérabilités "zero-day" sont exploitées par de nouveaux acteurs de la menace.
Alors que le monde a découvert ces vulnérabilités critiques le2 mars lorsque Microsoft a publié des mises à jour de sécurité et des conseils d'atténuation, la première exploitation connue de cette vulnérabilité s'est produite au début du mois de janvier. Bien que l'application des mises à jour conseillées par Microsoft protège les organisations contre l'exploitation continue ou future de ces vulnérabilités connues, elles n'atténuent pas les compromissions qui se sont déjà produites. Et comme ces vulnérabilités Exchange sont exposées à l'internet, les cybercriminels continuent de rechercher avec voracité les systèmes non corrigés pour les attaquer à une échelle sans précédent.
J'ai récemment eu l'occasion de m'entretenir avec Alan Sugano, président d'ADS Consulting Group, au sujet des attaques « Hafnium », dans le cadre d'un épisode du podcast «HIP ». Grâce à son travail au sein d’ADS Consulting Group, une organisation qui accompagne de nombreuses petites et moyennes entreprises et qui possède une connaissance approfondie de Microsoft Exchange, Alan est étroitement impliqué dans les efforts de correction et d’atténuation liés aux attaques Hafnium. Lors de notre entretien, nous avons discuté de la nature exacte des attaques Hafnium et de la manière dont elles permettent un accès non autorisé à des systèmes critiques tels qu’Active Directory (AD), ainsi que des conseils concrets sur la manière dont les entreprises peuvent se défendre contre ces attaques.
Comment fonctionnent les attaques au hafnium ?
Les attaques Hafnium sont en grande partie des attaques automatisées qui recherchent des serveurs Exchange non corrigés sur la base des informations dont nous disposons actuellement. En tirant parti de quatre vulnérabilités de type "zero-day", les attaquants sont en mesure d'effectuer des recherches à distance sur des serveurs Exchange exposés à l'internet afin d'accéder à n'importe quel serveur Exchange par le biais d'Outlook Web Access (OWA). Ils créent ensuite un shell web pour contrôler à distance le serveur compromis afin de voler les données d'une organisation et d'obtenir un accès non autorisé à des systèmes critiques comme AD. En ciblant AD, les cybercriminels peuvent élever leurs privilèges et se déplacer latéralement vers d'autres systèmes et environnements.
Comment une organisation peut-elle confirmer qu'elle a été piratée ?
L'un des principaux indicateurs de compromission (IOC) est la présence d'un fichier ASPX qui ne semble pas avoir sa place à cet endroit. Les entreprises peuvent rechercher ces fichiers « web shell » en vérifiant le chemin d'accès suivant : C:inetpubwwwrootaspnet_clientsystem_web. Microsoft a également publié divers scripts PowerShell permettant aux entreprises d'effectuer une vérification des IOC liés à Hafnium dans différents dossiers, ainsi que de déterminer les noms de fichiers à rechercher.
Une fois que le fichier ASPX est présent, il importe peu qu'une organisation ait patché son serveur. Si le fichier ASPX est là, cela signifie que le shell web a déjà été installé et qu'un attaquant a accès à des systèmes vulnérables.
Quelles mesures les organisations doivent-elles prendre pour vérifier si elles ont été compromises ?
Les entreprises peuvent être touchées par plusieurs variantes de Hafnium, et il est possible que de nouvelles variantes aient déjà été créées, qui feraient apparaître le web shell dans un dossier différent, non répertorié dans les scripts PowerShell de Microsoft. C'est pourquoi il est recommandé de télécharger le Microsoft Safety Scanner. Cet outil effectuera une analyse complète du serveur Exchange de l'entreprise et détectera les web shells que les logiciels antivirus commerciaux ne parviennent tout simplement pas à repérer. Se fier aux logiciels antivirus traditionnels ne fera que donner à votre organisation un faux sentiment de sécurité, tout en la laissant vulnérable.
Il est important de noter qu'au cours de l'analyse proprement dite, le scanner de sécurité de Microsoft peut détecter des "fichiers infectés". Cela peut sembler effrayant, mais il peut s'agir simplement d'une partie d'un fichier qui correspond à l'un des modèles recherchés par le scanner. Pour savoir avec certitude si votre organisation a été compromise ou non, vous devrez examiner les résultats complets à l'issue de l'analyse de l'index. Bien que le scanner de sécurité supprime automatiquement tous les fichiers infectés, il est conseillé d'exécuter à nouveau l'analyse complète après le redémarrage du serveur Exchange pour s'assurer qu'aucun fichier n'a été oublié.
Quelles mesures correctives une organisation compromise doit-elle prendre ?
Si Microsoft Security Scanner trouve un shell web, cette organisation doit également vérifier ScheduledTasks pour s'assurer qu'il n'y a pas de tâches planifiées qui exécutent VSPerfMon, qui ouvre des portes dérobées qui maintiennent un accès persistant aux serveurs Exchange compromis. Pour ce faire, ouvrez une invite de commande sur le serveur Exchange et exécutez Schtasks.exe. Une autre porte dérobée potentielle est la présence d'une clé de chemin d'accès à un navigateur Opera, que les attaquants utilisent comme méthode pour lancer un cheval de Troie d'accès à distance afin de permettre un contrôle administratif. Avant de supprimer toute porte dérobée, les entreprises devront bloquer l'accès à OWA afin d'éviter que les attaquants n'introduisent une autre porte dérobée au cours du processus de remédiation.
De plus, toute intrusion dans le réseau d’une organisation conduit inévitablement à l’Active Directory (AD), car cela permet aux attaquants d’accéder à des identifiants privilégiés. Cela signifie que si l’AD est compromis, c’est l’ensemble de l’environnement de l’organisation qui est compromis. L’analyse des systèmes à la recherche d’IOC (indicateurs de compromission) et d’IOE (indicateurs d’exposition) constitue une étape cruciale pour renforcer la sécurité de l’AD. Un outil qui peut s’avérer utile, et que je recommande vivement aux professionnels de la sécurité d’utiliser, est Purple Knight, un outil gratuit d’évaluation de la sécurité conçu pour analyser Active Directory à la recherche de 59 IOE et IOC différents en quelques secondes. Semperis a également récemment amélioré la version 3.5 de « Directory Services Protector » (DSP), qui permet aux entreprises de surveiller en continu Active Directory afin de détecter les indicateurs de sécurité avant et après une attaque, et de mettre au jour les vulnérabilités dangereuses.
Enfin, il est important que les équipes de sécurité fassent un effort conscient pour se tenir au courant des nouvelles liées à Hafnium et à Exchange Server, en particulier toute nouvelle découverte de vulnérabilités. Les blogs TRUESEC et Huntress sont d'excellentes sources d'information.
L'accès qui peut être obtenu en exploitant les vulnérabilités est important. En agissant rapidement pour supprimer les shells web et toute autre porte dérobée, les organisations peuvent potentiellement protéger leurs données avant que les attaquants n'aient une chance de commencer à exploiter les données des serveurs compromis.
---
Écoutez l'intégralité de la conversation sur les attaques Hafnium avec Sean Deuby, directeur des services chez Semperis, et Alan Sugano, président d'ADS Consulting Group, dans le dernier épisode du podcast «HIP ».
