Microsoft khuyên người dùng nên cập nhật máy chủ Exchange của họ cũng như thực hiện các biện pháp phòng ngừa như bật Bảo vệ mở rộng của Windows và thiết lập việc ký các tải trọng tuần tự hóa PowerShell dựa trên chứng chỉ.
Nhóm Exchange của gã khổng lồ phần mềm đã tuyên bố trong một bài đăng rằng những kẻ tấn công cố gắng nhắm mục tiêu vào các máy chủ Exchange chưa được vá sẽ không dừng lại. Giá trị của cơ sở hạ tầng Exchange tại chỗ chưa được vá lỗi đối với các tác nhân thù địch đang cố gắng đánh cắp dữ liệu hoặc thực hiện các hành vi sai trái khác là quá lớn.
Microsoft cũng lưu ý rằng các biện pháp giảm nhẹ mà họ đã phát hành chỉ là một bản sửa lỗi tạm thời và có thể “không đủ để bảo vệ chống lại mọi khả năng tấn công”, yêu cầu người dùng cài đặt các bản nâng cấp bảo mật cần thiết để bảo vệ máy chủ.
Bản phát hành tư vấn kỹ thuật từ Bitdefender trong tuần này bao gồm mô tả Exchange là “mục tiêu hoàn hảo” cũng như dòng thời gian của một số cuộc tấn công thực tế đã sử dụng chuỗi khai thác ProxyNotShell / OWASSRF từ cuối tháng 11 năm 2022.
Theo Martin Zugec của Bitdefender, Exchange có một mạng lưới các dịch vụ giao diện người dùng và phụ trợ phức tạp, cũng như mã cũ để tương thích ngược. Các yêu cầu đến từ lớp [Dịch vụ truy cập máy khách] giao diện người dùng được các dịch vụ phụ trợ tin cậy.
Nhiều dịch vụ phụ trợ được điều hành bởi chính Exchange Server, dịch vụ này có các đặc quyền HỆ THỐNG, đó là một lý do khác. Ngoài ra, các khai thác có thể cung cấp cho kẻ tấn công quyền truy cập trái phép vào dịch vụ PowerShell từ xa, mở ra cơ hội thực thi các lệnh độc hại một cách hiệu quả.
Với mục đích đó, các cuộc tấn công sử dụng các điểm yếu của ProxyNotShell và OWASSRF đã nhắm mục tiêu vào các lĩnh vực tư vấn, pháp lý, sản xuất, bất động sản và bán buôn có trụ sở tại Áo, Kuwaiti, Ba Lan, Thổ Nhĩ Kỳ và Hoa Kỳ.
. Sự lây nhiễm nhằm mục đích thiết lập vỏ web và các công cụ quản lý và giám sát từ xa (RMM) như ConnectWise Control và GoTo Resolve được coi là đỉnh điểm của phần lớn các cuộc tấn công, được mô tả là mang tính cơ hội hơn là tập trung và nhắm mục tiêu.
Với vỏ web, bọn tội phạm có thể thực hiện nhiều nhiệm vụ bổ sung và thậm chí bán lại quyền truy cập cho các nhóm tin tặc khác để kiếm lợi nhuận ngoài việc cung cấp kỹ thuật truy cập từ xa liên tục.
Có thể kỹ thuật tương tự đã được sử dụng để tăng phạm vi tấn công vì trong một số trường hợp, máy chủ dàn được sử dụng để lưu trữ tải trọng đã bị nhiễm máy chủ Microsoft Exchange.
Những nỗ lực không thành công của kẻ thù để tải xuống Cobalt Strike và một bộ cấy dựa trên Go với tên mã GoBackClient có thể thu thập thông tin hệ thống và tạo ra các lớp vỏ đảo ngược cũng được nhìn thấy.
Các nhà phát triển phần mềm tống tiền Cuba (còn được gọi là COLDDRAW), UNC2596 (còn được gọi là Tropical Scorpius), có lịch sử lạm dụng các lỗ hổng Microsoft Exchange. Trong một cuộc tấn công, trình tải xuống BUGHATCH đã bị loại bỏ bằng trình tự khai thác ProxyNotShell.
Mặc dù vectơ lây nhiễm ban đầu liên tục thay đổi và các tác nhân đe dọa luôn mong muốn tận dụng mọi cơ hội mới, Zugec nói rằng các hoạt động hậu khai thác của họ đã được biết rõ. Kiến trúc chuyên sâu về phòng thủ là cách phòng thủ tốt nhất trước các cuộc tấn công mạng hiện đại.
Tiếng Việt 
English 
हिन्दी 
ગુજરાતી 
தமிழ் 
తెలుగు 
मराठी 
മലയാളം 
বাংলা 
Français de Belgique 
Deutsch (Schweiz) 
Deutsch (Sie) 
Deutsch 
English (Canada) 
English (New Zealand) 
English (UK) 
English (Australia) 
English (South Africa) 
Afrikaans 
اردو 
العربية 
Русский 
简体中文 
Azərbaycan dili 
অসমীয়া 
Magyar 
Bahasa Indonesia 
Español de Argentina 
Español de Colombia 
日本語 
Italiano 
Українська 
فارسی 
Français du Canada