Четыре самых опасных уязвимости, которые уже вовсю эксплуатируют злоумышленники, позволяют им провернуть трехступенчатую атаку. Сначала они получают доступ к серверу Exchange, затем создают веб-шелл для удаленного доступа к серверу, а затем используют его для кражи данных из сети организации. Вот эти уязвимости:

• уязвимость CVE-2021-26855 может быть использована для подделки запросов со стороны сервера (server-side request forgery) что позволяет обойти аутентификацию на сервере Exchange и, как следствие, ведет к удаленному запуску произвольного кода;
  
• CVE-2021-26857 позволяет злоумышленникам выполнить произвольный код от имени системы (для ее использования требуются либо права администратора, либо эксплуатация предыдущей уязвимости;
  
• CVE-2021-26858и CVE-2021-27065 используются для записи файла по любому пути на сервере.

Злоумышленники используют эти четыре уязвимости в связке. Впрочем, если судить по данным Microsoft, иногда они пользуются похищенными учетными данными и аутентифицируются на сервере без применения уязвимости CVE-2021-26855.

Патч, который закрывает все эти уязвимости, устраняет и еще несколько более мелких дыр в Exchange, не имеющих прямого отношения к активным целевым атакам (по крайней мере насколько нам это известно).

Кто в группе риска?
Облачная версия Exchange не подвержена данным уязвимостям, они представляют опасность только для развертываемых внутри инфраструктуры серверов. Изначально Microsoft выпустила патчи для Microsoft Exchange Server 2013, Microsoft Exchange Server 2016 и Microsoft Exchange Server 2019, а также в рамках стратегии Defense in Depth было опубликовано обновление для Microsoft Exchange Server 2010. Впрочем, из-за массовой эксплуатации через некоторое время были закрыты и уязвимости в более старых версиях Exchange.

По мнению исследователей из Microsoft, за атаками с использованием этих уязвимостей стоят хакеры из группировки Hafnium. В сферу их интересов входят американские индустриальные компании, исследователи инфекционных заболеваний, юридические фирмы, некоммерческие организации и политические аналитики. Их цель — похищение конфиденциальной информации. Точное количество жертв не известно, однако, по данным источников KrebsOnSecurity, как минимум 30 000 организаций в США, включая малый бизнес и городские администрации, были атакованы при помощи этих уязвимостей. По данным наших экспертов, цели злоумышленников находятся не только в Америке – они атакуют серверы Exchange по всему миру. Более подробную информацию по географии атак можно найти в публикации на сайте Securelist.