Ostrzeżenie! Luki w zabezpieczeniach firmy Microsoft wykorzystywane przez przestępców ransomware

Kevin Beaumont, były pracownik Microsoft ds. bezpieczeństwa, ostrzegł, że cyberprzestępcy masowo wykorzystują luki w zabezpieczeniach serwerów Microsoft Exchange, ponieważ korporacje nie zostały odpowiednio ostrzeżone o tym, które systemy należy załatać.

W swoim blogu DoublePulsar Beaumont ostrzegł, że wiele organizacji wydaje się nie załatać, co doprowadziło do masowego wykorzystywania luk w zabezpieczeniach. Dodał również, że setki systemów rządu USA zostały ujawnione, a Departament Bezpieczeństwa Wewnętrznego i Bezpieczeństwa Infrastruktury (CISA) wydał alert w niedzielę.

„Są to wstępnie uwierzytelnione (bez hasła) luki umożliwiające zdalne wykonanie kodu, co jest tak poważne, jak się pojawiają"

Twierdził, że Microsoft już wiedział, że ostatecznie doprowadzi to do wybuchu międzynarodowego incydentu dla klientów. I chociaż Microsoft wydał poprawki dobre 5 miesięcy temu, nie przydzielił standardowych numerów identyfikujących luki, które mogłyby stosunkowo ułatwić użytkownikom określenie, co wymaga poprawki.

Beaumont dodał, że:

„Stworzyło to sytuację, w której klienci Microsoftu byli błędnie informowani o powadze jednego z najbardziej krytycznych błędów bezpieczeństwa w przedsiębiorstwie roku”

Należy pamiętać, że Microsoft nie odpowiedział na prośbę o komentarz w sprawie zarzutów Beaumonta w momencie publikacji jego raportu.

Podczas gdy wiele grup hakerskich wykorzystało te luki, jedną z rozpoznanych grup jest LockFile, który wykorzystał luki po raz pierwszy załatane przez Microsoft w marcu . Ta grupa hakerska była wcześniej powiązana z wieloma atakami ransomware, głównie w Azji i Stanach Zjednoczonych, w branży produkcyjnej, inżynieryjnej, turystycznej i finansowej, jak wynika z posta na blogu organizacji zajmującej się bezpieczeństwem o nazwie Symantec. Post zawierał ponadto grupę, o której po raz pierwszy wspomniano 20 lipca w sieci amerykańskiej organizacji finansowej.

Beaumont potwierdził również, że zidentyfikował tysiące niezałatanych serwerów Exchange w Wielkiej Brytanii korzystających z aplikacji Outlook Web App, z których kilka jest w domenie gov.uk, a dwa w witrynie police.uk.

W tej sprawie brytyjskie Narodowe Centrum Bezpieczeństwa Cybernetycznego stwierdziło, że zdaje sobie sprawę z globalnej działalności związanej z lukami w serwerach Microsoft Exchange, które były wcześniej narażone na atak.

Organizacja powiedziała:

„Na tym etapie nie widzieliśmy dowodów na to, że organizacje brytyjskie zostały naruszone, ale nadal monitorujemy ich wpływ. NCSC wzywa wszystkie organizacje do zainstalowania najnowszych aktualizacji zabezpieczeń w celu ochrony i zgłaszania wszelkich podejrzeń narażenia na zagrożenia za pośrednictwem naszej strony internetowej”.

„NCSC wzywa wszystkie organizacje do zainstalowania najnowszych aktualizacji zabezpieczeń w celu ochrony i zgłaszania wszelkich podejrzewanych naruszeń za pośrednictwem naszej strony internetowej” – dodała organizacja.

Odnosząc się do całego strzemienia, rzecznik Mandiant – amerykańskiej firmy zajmującej się cyberbezpieczeństwem, powiedział Sky News, że zaobserwowali, że hakerzy są celem „szeregu branż”.

Rzecznik dodał:

„Trudno jest przypisać tę aktywność jakiejkolwiek grupie cyberprzestępców, ponieważ badacze bezpieczeństwa opracowali i opublikowali wiele przykładów kodu wykorzystującego lukę w weryfikacji koncepcji”.

„Oznacza to, że każda grupa może wykorzystywać exploit, a organizacje, które nie załatały, są podatne na ataki”, ostrzegł rzecznik, dodając, że wskaźnik łatania „pozostaje niski” i wezwał firmy do jak najszybszego wykonania łatek, aby uniknąć więcej szkód.

Wraz z nową falą cyberataków można się zastanawiać, jaki będzie wpływ tych luk na użytkowników poczty e-mail Microsoft Exchange na całym świecie.

Zwiększona liczba ataków wymierzonych w serwery Microsoft Exchange rozpoczęła się po tym, jak Microsoft wydał na początku tego roku ostrzeżenie podkreślające globalną kampanię hakerską, skierowaną również konkretnie na te serwery, o których wspomina się, że należą do sponsorowanych przez państwo hakerów z siedzibą w Chinach.

Według szacunków 400 000 serwerów z całego świata zostało skompromitowanych w masowej kampanii szpiegowskiej.

Rząd Wielkiej Brytanii agresywnie zwrócił uwagę na techniki, których używali chińscy cyberszpiedzy, aby uzyskać i zachować dostęp do zaatakowanych serwerów, co również narażało te serwery na ataki przestępców.

Podczas gdy osoby zaangażowane w cyberszpiegostwo zwykle uciekają się do cichej obserwacji bez zakłócania docelowych sieci, przestępcy zwykle dokładają wszelkich starań, aby zakłócić zaatakowane sieci, przeprowadzając ataki ransomware – ostatecznie doprowadzając poufne pliki krytyczne do nieodwracalności, chyba że i dopóki ofiary atak płaci sporą opłatę za wymuszenie.

Zaledwie w zeszłym miesiącu rząd brytyjski i jego sojusznicy rażąco oskarżyli Chiny o „systematyczny cybersabotaż” w związku ze wspomnianą kampanią.

Jednocześnie kontrahenci wynajęci przez pekiński cyberinteligencja zostali oskarżeni przez rząd brytyjski o prowadzenie „niesankcjonowanych operacji cybernetycznych na całym świecie… dla ich osobistego zysku” . Nie jest jednak do końca jasne, czy nieautoryzowane operacje miały na celu wykorzystanie dostępu utworzonego przez nieautoryzowaną kampanię szpiegowską.

Niedawne szaleństwo nowych cyberataków to jedyny powód, dla którego Microsoft nagle znów pojawił się w wiadomościach. Niedawno pojawiły się informacje o nowym systemie operacyjnym Windows 11, który ma zostać wydany w październiku 2021 r., oraz o tym, jak cyberprzestępcy zaczęli wykorzystywać jego pliki instalacyjne do wstrzykiwania różnego rodzaju złośliwego oprogramowania do urządzeń użytkowników.

Chociaż nie jest jasne, w jaki sposób Microsoft załata wszelkie potencjalne luki w zabezpieczeniach, zawsze dobrze jest zachować ostrożność w odniesieniu do statystyk cyberbezpieczeństwa. Nawet coś tak prostego, jak Microsoft Excel, można wykorzystać do przeprowadzania ataków phishingowych na masową skalę.

Prognoza przyszłych ataków phishingowych jest przerażająca i powinna dotyczyć nas wszystkich. APWG poinformowało, że liczba stron phishingowych wzrosła z liczby 138 328 do 266 387 w krótkim okresie między IV kw. 2018 r. a III kw. 2019 r. Jeszcze bardziej niepokojący jest fakt, że wszelkie informacje, które zostaną skradzione, stają się dostępne w Dark Web, aby licytujący mogli je kupić i wykorzystać do jakichkolwiek złośliwych zamiarów.