Si ritiene che gli attacchi ai server Microsoft Exchange di tutto il mondo da parte del gruppo di minacce Hafnium, sponsorizzato dallo Stato cinese, abbiano colpito oltre 21.000 organizzazioni. L'impatto di questi attacchi sta crescendo, poiché le quattro vulnerabilità zero-day vengono sfruttate da nuovi attori delle minacce.
Mentre il mondo è stato introdotto a queste vulnerabilità critiche il2 marzo, quando Microsoft ha rilasciato gli aggiornamenti di sicurezza e le indicazioni per la mitigazione, il primo sfruttamento noto di questa vulnerabilità è avvenuto all'inizio di gennaio. Sebbene l'applicazione degli aggiornamenti consigliati da Microsoft protegga le organizzazioni dallo sfruttamento continuo o futuro di queste vulnerabilità note, non attenua le compromissioni già avvenute. Inoltre, poiché queste vulnerabilità di Exchange sono esposte a Internet, i criminali informatici continuano a cercare voracemente sistemi senza patch da attaccare su scala senza precedenti.
Recentemente ho avuto l’opportunità di parlare con Alan Sugano, presidente di ADS Consulting Group, degli attacchi Hafnium per una puntata del podcast “HIP ”. Grazie al suo lavoro presso ADS Consulting Group, un’organizzazione che supporta numerose piccole e medie imprese e vanta una profonda conoscenza di Microsoft Exchange, Alan è profondamente coinvolto nelle attività di applicazione delle patch e di mitigazione relative agli attacchi Hafnium. Durante la nostra conversazione, abbiamo discusso della natura esatta degli attacchi Hafnium e di come questi consentano l’accesso non autorizzato a sistemi critici come Active Directory (AD), oltre a fornire indicazioni pratiche su come le aziende possano difendersi da tali attacchi.
Come funzionano gli attacchi di afnio?
Gli attacchi Hafnium sono in gran parte attacchi automatizzati che cercano server Exchange privi di patch sulla base delle informazioni attualmente disponibili. Sfruttando quattro vulnerabilità zero-day, gli aggressori sono in grado di effettuare ricerche remote di server Exchange esposti a Internet per accedere a qualsiasi server Exchange tramite Outlook Web Access (OWA). Creano quindi una shell web per controllare il server compromesso da remoto per rubare i dati dell'organizzazione e ottenere l'accesso non autorizzato a sistemi critici come AD. Prendendo di mira AD, i criminali informatici possono elevare i privilegi e spostarsi lateralmente verso altri sistemi e ambienti.
Come può un'organizzazione confermare se è stata violata?
Uno dei principali indicatori di compromissione (IOC) è la presenza di un file ASPX che non sembra doversi trovarsi in quella posizione. Le organizzazioni possono individuare questi file web shell controllando il percorso C:inetpubwwwrootaspnet_clientsystem_web. Microsoft ha inoltre rilasciato diversi script PowerShell che consentono alle organizzazioni di eseguire un controllo alla ricerca degli IOC di Hafnium in diverse cartelle, indicando anche i nomi dei file da cercare.
Una volta che il file ASPX è presente, non importa se un'organizzazione ha applicato le patch al proprio server. Se il file ASPX è presente, significa che la web shell è già stata installata e che un aggressore ha accesso ai sistemi vulnerabili.
Quali sono le misure che le organizzazioni devono adottare per verificare se sono state compromesse?
Le organizzazioni possono essere colpite da diverse varianti di Hafnium ed è possibile che siano già state create nuove varianti che farebbero apparire la web shell in una cartella diversa, non elencata negli script PowerShell di Microsoft. Per questo motivo, la linea d’azione raccomandata è quella di scaricare Microsoft Safety Scanner. Questo strumento eseguirà una scansione completa del server Exchange dell’organizzazione e individuerà le web shell che i software antivirus commerciali semplicemente non sono in grado di rilevare. Affidarsi ai tradizionali software antivirus non farà altro che dare alla vostra organizzazione un falso senso di sicurezza, lasciandola al contempo vulnerabile.
È importante notare che durante la scansione vera e propria, Microsoft Safety Scanner può rilevare "file infetti". Sembra spaventoso, ma potrebbe trattarsi solo di una porzione di file che corrisponde a uno dei modelli ricercati dallo scanner. Per sapere con certezza se la vostra organizzazione è stata compromessa o meno, dovrete esaminare i risultati completi al termine della scansione dell'indice. Sebbene Safety Scanner elimini automaticamente tutti i file infetti, è consigliabile eseguire nuovamente la scansione completa dopo il riavvio di Exchange Server per assicurarsi che non vi siano file mancanti.
Quali sono le misure di rimedio che un'organizzazione compromessa deve adottare?
Se Microsoft Security Scanner trova una shell Web, l'organizzazione deve anche controllare ScheduledTasks per assicurarsi che non vi siano attività pianificate che eseguono VSPerfMon, che apre backdoor che mantengono l'accesso persistente ai server Exchange compromessi. A tal fine, aprire un prompt dei comandi su Exchange Server ed eseguire Schtasks.exe. Un'altra potenziale backdoor è la presenza di una chiave di percorso dell'immagine di un browser Opera, che gli aggressori utilizzano come metodo per lanciare un trojan di accesso remoto per consentire il controllo amministrativo. Prima di rimuovere qualsiasi backdoor, le aziende dovranno bloccare l'accesso a OWA per evitare che gli aggressori inseriscano un'altra backdoor durante il processo di bonifica.
Inoltre, qualsiasi intrusione nella rete di un’organizzazione porta inevitabilmente ad AD, poiché ciò fornisce agli aggressori l’accesso a credenziali privilegiate. Ciò significa che, se AD viene compromesso, l’intero ambiente di un’organizzazione è compromesso. L’analisi dei sistemi alla ricerca sia di IOC che di IOE (indicatori di esposizione) è un passo fondamentale per rafforzare la sicurezza di AD. Uno strumento che può essere d’aiuto, e che consiglio vivamente ai professionisti della sicurezza di utilizzare, è Purple Knight, uno strumento gratuito di valutazione della sicurezza progettato per eseguire in pochi secondi una scansione di AD alla ricerca di 59 diversi IOE e IOC. Semperis ha inoltre recentemente potenziato la versione 3.5 di “ Directory Services Protector ” (DSP), che consente alle organizzazioni di monitorare continuamente AD alla ricerca di indicatori di sicurezza pre e post-attacco e di individuare vulnerabilità pericolose.
Infine, è importante che i team di sicurezza si sforzino di rimanere aggiornati sulle novità relative ad Hafnium ed Exchange Server, in particolare sulle nuove scoperte relative alle vulnerabilità. Il blog TRUESEC e il blog Huntress sono ottime fonti di informazioni.
L'accesso che si può ottenere sfruttando le vulnerabilità è significativo. Agendo rapidamente per rimuovere le web shell e qualsiasi altra backdoor, le organizzazioni possono potenzialmente salvaguardare i propri dati prima che gli aggressori abbiano la possibilità di iniziare l'estrazione dei dati dai server compromessi.
---
Ascolta la conversazione completa sugli attacchi Hafnium con Sean Deuby, direttore dei servizi di Semperis, e Alan Sugano, presidente di ADS Consulting Group, nell'ultima puntata del podcast “HIP ”.
