Fortinet relata vulnerabilidade no Microsoft Exchange Server, alvo de campanha agressiva de hackers

Especialistas de segurança calculam que centenas de milhares de servidores Exchange, da Microsoft, foram explorados em todo o mundo em ataques cibernéticos. Segundo a Fortinet, empresa especializada em segurança ciberenética, cerca de 30 mil empresas e agências governamentais nos Estados Unidos foram alvo de uma campanha agressiva de hacking que explora vulnerabilidades em versões do Microsoft Exchange Server.

Leia também: Vazamento em massa pode ter exposto CPF de milhões de brasileiros

O Microsoft Exchange Server é usado por milhões de organizações para e-mail e calendário. Esse vetor de exploração tem como alvo Microsoft Exchange Servers capazes de receber conexões não confiáveis de uma fonte externa. Entre seus recursos está um ataque de execução remota de código (Remote Code Execution – RCE) que permite que os invasores instalem backdoors na rede para uso posterior, conforme explica a empresa de segurança. Depois de instalados, esses backdoors podem permanecer ativos mesmo após aplicação do patch para o exploit original.

A Microsoft está atribuindo esses ataques a uma organização de espionagem cibernética conhecida como HAFNIUM, que opera na China continental.

No último 2 de março, a Microsoft lançou vários patches para suas versões locais do Exchange Server 2013, Exchange Server 2016 e Exchange Server 2019. Esses patches vieram em resposta a vários ataques dirigidos às vulnerabilidades CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 e CVE-2021-27065. Desde o lançamento desses patches, o HAFNIUM acelerou a exploração dessas vulnerabilidades, provavelmente procurando comprometer o máximo de organizações possível antes que as empresas possam aplicar os patches da Microsoft.

O serviço on-line do Microsoft Exchange Server não está afetado.

De acordo com a Microsoft, HAFNIUM é um grupo de espionagem cibernética patrocinado pelo estado que visa principalmente entidades nos Estados Unidos em uma série de setores da indústria, incluindo pesquisadores de doenças infecciosas, escritórios de advocacia, instituições de ensino superior, empresas de defesa, think tanks políticas e ONGs.

O principal objetivo dos ataques é obter acesso a redes valiosas com a finalidade de vazar dados para sites de compartilhamento de arquivos como o MEGA. No entanto, relatórios recentes mostraram que esta é agora uma campanha global sendo aproveitada por outros atacantes como resultado da reversão do patch para causar mais danos.

As equipes do FortiGuard Labs e da Microsoft entraram imediatamente em contato por meio do MAPP (Microsoft Active Protections Program), um programa do qual a Fortinet participa desde 2005. A Fortinet publicou um relatório de Threat Signal com detalhes sobre esse exploit em 3 de março. Ela também lançou quatro patches FortiGuard IPS, em 3 e 4 de março, para proteger os clientes Fortinet desses ataques. As soluções FortiEDR e FortiXDR protegem automaticamente os clientes desses exploits com atualizações permanentes.

Como se proteger

Se você acredita que sua organização está vulnerável a esse exploit, a Fortinet recomenda as seguintes ações:

• Aplique um “hot patch”. Esta é a estratégia de atualizar os dispositivos de segurança para bloquear automaticamente as tentativas de exploração.
• Conduza um inventário de ativos para identificar todos os Microsoft Exchange Servers afetados implantados em sua organização.
• Execute verificações de versão para ver se eles foram corrigidos.
• Aplique os patches apropriados sempre que possível. Dispositivos que não podem ter patches aplicados devem ser protegidos por um dispositivo de segurança capaz de detectar e prevenir tal vulnerabilidade.
• Aplique varredura avançada aproveitando os indicadores de compromisso conhecidos para detectar brechas e comportamentos anômalos resultantes de uma violação bem-sucedida, como o uso de um backdoor não autorizado.

Devido à facilidade de interrupção que esse exploit permite e ao potencial de danos às operações diárias, é essencial que as organizações mantenham todas as assinaturas de antivírus (AV) e IPS atualizadas. Segundo a empresa, é fundamental que as organizações estabeleçam uma avaliação regular de segurança e uma rotina de correção. Isso garante que todas as vulnerabilidades conhecidas do fornecedor sejam corrigidas e atualizadas de forma constante, evitando que os invasores estabeleçam um ponto de apoio dentro da rede.