Exploits in Microsoft Exchange Server actief misbruikt in Nederland

Laptop waarop het programma Microsoft Exchange wordt geopend

Zeroday exploits in Microsoft Exchange Server worden actief misbruikt in Nederland. Het Nationaal Cyber Security Centrum (NCSC) adviseert om zo snel mogelijk de vrijgegeven patch te installeren. Tevens raadt het adviesorgaan aan om de Exchange-omgeving te controleren om uit te sluiten dat er misbruik heeft plaatsgevonden.

Dat schrijft het NCSC in een persverklaring.

Microsoft ontdekt vier zeroday exploits, rolt onmiddellijk een patch uit

Eerder deze week dichtte Microsoft vier zogeheten zeroday-kwetsbaarheden in Exchange Server, een programma dat door bedrijven gebruikt wordt om e-mails mee te ontvangen en versturen. Een zeroday is een kwetsbaarheid in de software die sinds dag één bestaat, maar waar de fabrikant en het publiek niets van afweten. Hackers en cybercriminelen zijn hier dol op, omdat het hen in staat stelt om onopgemerkt computersystemen en servers te infiltreren, malware te installeren of andere kwade fratsen uit te halen.

Op haar beveiligingsblog schreef Microsoft dat kwaadwillenden door de zeroday exploits toegang konden krijgen tot Exchange-servers. Als ze eenmaal toegang hadden tot de e-mailaccounts van de medewerkers, konden ze ransomware en andere vormen van malware installeren. De exploits bestaan in Exchange Server die op versie 2013, 2016 en 2019 draaien. Microsoft rolde dinsdag een patch uit voor om de beveiligingslekken te dichten. Het Amerikaanse hard- en softwarebedrijf raadde gebruikers aan om deze zo snel mogelijk te installeren.

Twee van de vier beveiligingslekken kwamen aan het licht dankzij Volexity. Het beveiligingsbedrijf ontdekte in januari dat er grote hoeveelheden data naar verdachte IP-adressen werden verstuurd. Aanvankelijk dachten securityexperts dat hackers gebruik maakten van een achterdeurtje, maar dat bleek niet het geval. In plaats daarvan stelden ze vast dat er meerdere zerodays waren. Eén van de kwetsbaarheden was zo ernstig dat er geen authenticatie nodig was.

‘Chinese staatshackers verantwoordelijk voor misbruiken zeroday exploits’

Het Microsoft Threat Intelligence Center (MSTIC) zegt dat het ‘vrij zeker’ is dat de zerodays actief zijn misbruikt door HAFNIUM, een groep Chinese staatshackers die buiten China opereert. Dat zou blijken uit de tactieken, procedures en de slachtoffers die ze kozen. Onder meer advocatenkantoren, onderwijsinstellingen, politieke denktanks en non-profitorganisaties zijn geliefde doelwitten van de Chinese hackers. Als ze eenmaal het netwerk zijn binnengedrongen, stelen ze gevoelige data en delen deze op websites als MEGA van Kim Dotcom. HAFNIUM werkt voornamelijk van gehuurde virtual private servers (VPS) in de VS, zo stelt Microsoft.

Uit onderzoek van het MSTIC blijkt dat de Chinese staatshackers in drie stappen te werk gaan. Allereerst dringen ze het netwerk van hun doelwit binnen, hetzij door gebruik te maken van de zeroday exploits, hetzij met behulp van gestolen wachtwoorden. Vervolgens konden ze web shells opzetten op de Exchange Server, waarmee ze op afstand de controle over de server konden overnemen. Tot slot stalen de aanvallers gevoelige data en installeerden ze malware.

Zerodays Exchange Server ook actief misbruikt in Nederland

Tot nu toe was bekend dat de zeroday exploits in Microsoft Exchange Server actief werden misbruikt in de VS. Dat blijkt ook in ons land het geval te zijn, waarschuwt het Nationaal Cyber Security Centrum (NCSC). “Van een van onze partners hebben wij vernomen dat ook binnen Nederland actief misbruik wordt gemaakt van deze kwetsbaarheden”, schrijft het adviesorgaan in een persbericht. Om welke bedrijven of instellingen het gaat, houdt het NCSC in het midden.

Net als Microsoft adviseert het NCSC om zo snel mogelijk de patch te installeren die Microsoft beschikbaar heeft gesteld. Tevens adviseert de instantie organisaties om hun Exchange-omgeving te controleren om zo uit te sluiten of de beveiligingslekken zijn misbruikt. Systeembeheerders moeten daarbij letten op zogeheten Indicators of Compromise (IOC’s). Dat zijn aanwijzingen in de logbestanden die kunnen duiden op misbruik door hackers. Microsoft heeft PowerShell-scripts beschikbaar gesteld waarmee logbestanden automatisch kunnen worden gecontroleerd. “Houd er rekening mee dat aanwezigheid van deze IoC’s niet noodzakelijkerwijs betekent dat uw Exchange-omgeving is gecompromitteerd”, eindigt het NCSC zijn blog.

Update (8 maart 2021): tienduizenden organisaties in Europa, Azië en de Verenigde Staten zijn geraakt door de zeroday exploits in Microsoft Exchange Server, zo blijkt uit cijfers van Microsoft. Hoeveel bedrijven daadwerkelijk het slachtoffer zijn geworden, is onduidelijk. In een updatebericht schrijft het Amerikaanse hard- en softwarebedrijf dat ze steeds meer aanvallen constateert op servers die niet gepatcht zijn. Naast HAFNIUM zouden volgens Microsoft ‘meerdere kwaadwillende partijen’ verantwoordelijk zijn voor misbruik.

Het Nationaal Cyber Security Centrum (NCSC) heeft berekend dat 40 procent van de Exchange-servers in Nederland nog niet geüpdatet is. “Gezien de hoge kans op misbruik van de kwetsbaarheden met mogelijk grote schade tot gevolg, adviseert het NCSC dringend om de updates op Microsoft Exchange Servers direct te installeren”, aldus het persbericht. Tevens adviseert het NCSC organisaties om hun Exchange-omgeving op eerder misbruik te controleren.

Update (9 maart 2021): de European Banking Authority (EBA) zegt dat hackers de kwetsbaarheden in Microsoft Exchange Server hebben misbruikt om een cyberaanval uit te voeren op de instantie. Daardoor zijn persoonlijke data en gegevens die via de e-mail worden uitgewisseld mogelijk in de handen van de aanvallers beland. De bank doet haar uiterste best om te achterhalen om te zien of er gegevens zijn buitgemaakt, en zo ja welke.

Een eerste analyse suggereert dat er geen data is gestolen door de hackers. Op dit moment is er nog geen zicht op de omvang van de aanval. Wellicht beperkt zich deze tot de e-mailservers. Het is echter ook mogelijk dat andere bedrijfssystemen en applicaties zijn geraadpleegd. Zoals het er nu volgens EBA uit ziet lijkt de schade mee te vallen. Dat is naar eigen zeggen te danken aan de ‘proactieve benadering’ van de dreiging en de voorzorgsmaatregelen die zijn getroffen. De e-mailservers zijn inmiddels weer hersteld.

Forensisch experts en ‘andere relevante entiteiten’, waaronder het Computer Emergency Response Team van de EU (CERT-EU), onderzoeken momenteel de zaak.

Privacy en security redacteur
Techliefhebber pur sang: Anton is gek op alles wat met technologie en internet te maken heeft. Cybersecurity, privacy en internetcensuur hebben dan ook zijn volle aandacht. 
Plaats een reactie
Een reactie plaatsen