Pro napadené poštovní servery je klíčové instalovat aktualizace s opravou

Česko patří podle dat ESETu mezi globálně nejvíce zasažené země - téměř 500 poštovních serverů bylo infikováno útočníky, kteří zneužili zranitelnosti Microsoft Exchange. Nyní je velmi důležitá aktivita v oblasti nezbytných aktualizací organizací, které servery hostují.

"Příčiny této situace spatřujeme mimo jiné ve velkém počtu serverů, které jsou takzvaně vystavené do internetu. Zároveň se v Česku fyzicky nachází poměrně významný počet IT infrastruktur řady globálních společností, což v konečném důsledku naši situaci ve srovnání s ostatními zeměmi zhoršuje. Počet serverů, které byly svými správci již aktualizovány, se výrazně zvýšil a naprostá většina je již aktualizována. Na druhou stranu je zde značné procento těch, kteří z nějakého důvodu aktualizaci stále neprovedli. Zde bychom chtěli varovat, v tomto případě opravdu nelze otálet," říká Miroslav Dvořák, technický ředitel české pobočky společnosti ESET.

Na začátku března 2021 vydal Microsoft pro poštovní servery Exchange Server 2013, 2016 a 2019 bezpečnostní záplaty opravující tyto zranitelnosti typu pre-autentizačního vzdáleného spuštění kódu (RCE). Podle odborníků je nezbytné je instalovat pro všechny dotčené servery, nejen ty vystavené do internetu.

Tato technika umožňuje útočníkovi převzít kontrolu nad jakýmkoliv zranitelným serverem Exchange publikovaným své webové rozhraní do internetu, aniž by bylo nutné znát platné přihlašovací údaje.

Pokud již ke kompromitaci došlo, měli by administrátoři malware odstranit, změnit přístupové údaje a prověřit, zda na serveru nedošlo k dalším aktivitám útočníků.

Komplexní aplikace, jako je Microsoft Exchange nebo SharePoint, by neměly být, pokud existuje jiná alternativa, vystaveny přímo do internetu.

Zranitelnost využívá několik útočných skupin

Společnost ESET vydala 11. 3. 2021 informaci, kde shrnula aktuální zjištění ohledně zranitelností poštovních serverů Microsoft Exchange. Na aktuálních útocích se podílí více než deset různých útočných skupin, které pravděpodobně využily nedávné chyby zabezpečení Microsoft Exchange k instalaci malwaru na e-mailové servery obětí.

V některých případech se několik skupin zaměřovalo na stejnou oběť. Mezi nejznámějšími můžeme jmenovat například skupinu Winnti nebo Mikroceen.

V tomto případě se nejedná o typy útoků, které okamžitě ochromí chod organizace, jak tomu bývá v případě ransomware nebo podobných typů útoků. Napadeným organizacím hrozí eskalace infekce - jedná se vlastně o úspěšný penetrační průnik - útočníci budou dále v síti šířit svůj malware.

Hrozí také kompromitace e-mailové komunikace a zneužití dat v ní. Během uplynulého víkendu se objevily také první ransomwary, které tuto zranitelnost zneužívají k zašifrování souborů.