Varoitus! Ransomware-rikollisten hyödyntämät Microsoftin haavoittuvuudet

Kevin Beaumont, entinen Microsoftin tietoturvatyöntekijä, varoitti, että kyberrikolliset käyttävät hyväkseen Microsoftin Exchange-sähköpostipalvelimien haavoittuvuuksia, koska yrityksiä ei varoitettu asianmukaisesti siitä, mitä järjestelmiä on korjattava.

DoublePulsar -blogissaan Beaumont varoitti, että monet organisaatiot eivät näytä tehneen korjauksia, mikä on johtanut haavoittuvuuksien massahyödyntämiseen. Hän lisäsi lisäksi, että satoja Yhdysvaltain hallituksen järjestelmiä on alttiina Homeland Securityn kyberturvallisuuden ja infrastruktuurin turvallisuuden (CISA) antaman varoituksen sunnuntaina.

"Ne ovat valmiiksi todennettuja (salasanaa ei vaadita) koodin etäsuorittamisen haavoittuvuuksia, mikä on niin vakavaa kuin tuleekin"

Hän väitti, että Microsoft tiesi jo, että tämä räjäyttäisi lopulta kansainvälisen tapauksen asiakkaille. Ja vaikka Microsoft oli julkaissut korjauksia reilut viisi kuukautta sitten, se ei ollut jakanut haavoittuvuuksien standardinumeroita, jotka olisivat voineet tehdä käyttäjien suhteellisen helpommaksi määrittää, mitä korjauksia tarvitaan.

Beaumont lisäsi, että:

"Se loi tilanteen, jossa Microsoftin asiakkaat saivat väärää tietoa yhden vuoden kriittisimmistä yritystietoturvavirheistä"

Huomaa, että Microsoft ei vastannut Beaumontin väitteitä koskevaan kommenttipyyntöön hänen raporttinsa julkaisuhetkellä.

Vaikka monet hakkerointiryhmät käyttivät hyväkseen näitä haavoittuvuuksia, yksi tunnustettu ryhmä on LockFile, jonka nähtiin hyödyntävän Microsoftin maaliskuussa ensimmäisen kerran korjaamia puutteita. Symantec-nimisen turvallisuusorganisaation blogiviestin mukaan tämä hakkerointiryhmä oli aiemmin liitetty moniin kiristysohjelmahyökkäuksiin pääasiassa Aasiassa ja Yhdysvalloissa valmistus-, suunnittelu-, matkailu- ja rahoitusteollisuudessa. Viesti sisälsi lisäksi ryhmän, joka mainittiin ensimmäisen kerran 20. heinäkuuta yhdysvaltalaisen rahoitusorganisaation verkostossa.

Beaumont vahvisti myös, että hän oli tunnistanut tuhansia korjaamattomia Exchange-palvelimia Yhdistyneessä kuningaskunnassa käyttämällä Outlook Web App -sovellusta, joista useat olivat gov.uk- verkkotunnuksessa ja kaksi Police.uk -verkkotunnuksessa .

Tästä Ison-Britannian kansallinen kyberturvallisuuskeskus kommentoi, että he ovat tietoisia maailmanlaajuisesta toiminnasta, joka liittyy Microsoft Exchange -palvelimien haavoittuvuuksiin, jotka joutuivat aiemmin kohdistumaan tällä hetkellä.

Järjestö sanoi:

"Tässä vaiheessa emme ole nähneet todisteita Yhdistyneen kuningaskunnan organisaatioiden vaarantumisesta, mutta jatkamme vaikutusten seurantaa. NCSC kehottaa kaikkia organisaatioita asentamaan uusimmat tietoturvapäivitykset suojatakseen itsensä ja ilmoittamaan kaikista epäillyistä tietomurroista verkkosivustomme kautta.

"NCSC kehottaa kaikkia organisaatioita asentamaan uusimmat tietoturvapäivitykset suojatakseen itsensä ja ilmoittamaan kaikista epäillyistä tietomurroista verkkosivustomme kautta", organisaatio lisäsi.

Yhdysvaltalaisen kyberturvallisuusyrityksen Mandiantin tiedottaja kertoi Sky Newsille, että he olivat havainneet hakkereiden kohteena olevan "useita toimialoja".

Tiedottaja lisäsi:

"Tätä toimintaa on vaikea liittää yhteen uhkatoimijoiden ryhmään, koska tietoturvatutkijat ovat kehittäneet ja julkaisseet useita esimerkkejä konseptin hyväksikäyttökoodin todisteista."

"Tämä tarkoittaa, että mikä tahansa ryhmä voi hyödyntää hyväksikäyttöä ja organisaatiot, jotka eivät ole korjanneet, ovat alttiita hyökkäyksille", tiedottaja varoitti ja lisäsi, että paikannuksen määrä "pysyi alhaisena" ja kehotti yrityksiä toteuttamaan korjaukset mahdollisimman pian välttääkseen enemmän vahinkoa.

Kyberhyökkäysten uusi aalto saa miettimään, mitä vaikutuksia näillä haavoittuvuuksilla on Microsoftin sähköpostinvaihtokäyttäjiin kaikkialla maailmassa.

Microsoft Exchange -palvelimiin kohdistuvien hyökkäysten määrä alkoi lisääntyä sen jälkeen, kun Microsoft antoi aiemmin tänä vuonna varoituksen, jossa korostettiin maailmanlaajuista hakkerointikampanjaa, ja kohdistui myös erityisesti niihin palvelimiin, joiden mainitaan omistavan valtion tukemia hakkereita, joiden pääkonttori on Kiinassa.

Arvion mukaan 400 000 palvelinta eri puolilta maailmaa vaarantui joukkovakoilukampanjassa.

Ison-Britannian hallitus huomautti aggressiivisesti tekniikoista, joita kiinalaiset kybervakoilijat käyttivät päästäkseen ja säilyttääkseen pääsyn vaarantuneisiin palvelimiin, mikä myös teki niistä haavoittuvia rikollisille.

Vaikka kybervakoiluun osallistuvat turvautuvat yleensä vain hiljaiseen tarkkailuun häiritsemättä kohdeverkkoja, rikolliset toisaalta yleensä tekevät kaikkensa häiritäkseen vaarantuneita verkkoja suorittamalla kiristysohjelmahyökkäyksiä – johtavat lopulta arkaluonteisten kriittisten tiedostojen palauttamiseen, elleivät uhrit joutuvat hyökkäys maksaa mojovan kiristysmaksun.

Juuri viime kuussa Britannian hallitus ja sen liittolaiset syyttivät Kiinaa räikeästi "systeemisestä kybersabotaasista" mainitun kampanjan yhteydessä.

Samaan aikaan Britannian hallitus syytti Pekingin kybertiedustelun palkkaamia urakoitsijoita "sanktioimattomien kyberoperaatioiden suorittamisesta maailmanlaajuisesti… oman henkilökohtaisen hyödynsä vuoksi" . Ei kuitenkaan ole täysin selvää, oliko luvattomien toimien tarkoitus hyödyntää luvattoman vakoilukampanjan luomaa pääsyä.

Viimeaikainen uusien kyberhyökkäysten vimma on ainoa syy, miksi Microsoft on yhtäkkiä taas uutisissa. Äskettäin nousi esiin uutisia uudesta Windows 11 -käyttöjärjestelmästä, jonka odotetaan julkaistavan lokakuussa 2021, ja siitä, kuinka verkkorikolliset alkoivat käyttää sen asennustiedostoja ruiskuttaakseen erilaisia ​​haittaohjelmia käyttäjien laitteisiin.

Vaikka on epäselvää, kuinka Microsoft korjaa mahdolliset haavoittuvuudet, on aina hyvä idea pysyä varovaisena kyberturvallisuustilastojen suhteen. Jopa niinkin yksinkertaista kuin Microsoft Exceliä voidaan hyödyntää massiivisten tietojenkalasteluhyökkäysten suorittamiseen .

Tulevien tietojenkalasteluhyökkäysten ennakointi on pelottavaa, ja sen pitäisi koskea meitä kaikkia. APWG ilmoitti tietojenkalastelusivustojen määrän lisääntyneen 138 328: sta 266 387 :ään  lyhyellä ajanjaksolla vuoden 2018 neljännen ja 2019 kolmannen neljänneksen välillä. Vielä huolestuttavampaa on se, että mitä tahansa tietoa varastetaankin, se tulee saataville Dark Webissä, jotta tarjoajat voivat ostaa ja käyttää niitä mihin tahansa haitalliseen tarkoitukseen.