Il 2 marzo Microsoft ha pubblicato aggiornamenti straordinari per Exchange Server, il server di posta installato in sede da moltissime aziende ed enti. Le quattro falle corrette erano già sfruttate da un gruppo che Microsoft chiama HAFNIUM e attribuisce con alta fiducia a operatori sostenuti dalla Cina. Nei giorni successivi la situazione è precipitata. Secondo le stime diffuse in questo fine settimana, solo negli Stati Uniti almeno 30.000 organizzazioni sono state violate.
La più grave delle quattro è la CVE-2021-26855, detta ProxyLogon: permette di inviare richieste al server autenticandosi come Exchange stesso, senza credenziali. Le altre completano il lavoro. La CVE-2021-26857 consente di eseguire codice come SYSTEM nel servizio di messaggistica unificata, mentre la CVE-2021-26858 e la CVE-2021-27065 permettono di scrivere file arbitrari sul server.
Messe in fila, danno a chi raggiunge Exchange via HTTPS la possibilità di leggere le caselle di posta e di installare una web shell, una piccola pagina che resta sul server e gli permette di tornare quando vuole. Sono coinvolti Exchange 2013, 2016 e 2019. Exchange Online, cioè la posta di Microsoft 365, non è colpito.
La patch chiude la porta, non caccia chi è già entrato
Dopo la pubblicazione degli aggiornamenti, altri gruppi oltre a HAFNIUM hanno iniziato a scansionare Internet e a colpire in automatico tutti i server non aggiornati. Molti erano già stati violati prima della patch, e aggiornarli ora non rimuove le web shell installate. Negli Stati Uniti una direttiva d’emergenza impone agli enti federali di aggiornare o scollegare i server e di cercare tracce di compromissione.
Installa subito gli aggiornamenti di marzo per la tua versione di Exchange; se non puoi, limita dall’esterno l’accesso alla porta 443 e applica le mitigazioni temporanee pubblicate da Microsoft. Poi lancia lo script Test-ProxyLogon.ps1 fornito da Microsoft per cercare indicatori di compromissione nei log. Cerca file .aspx sospetti nelle cartelle web di Exchange, come inetpub\wwwroot\aspnet_client e le cartelle di OWA, guardando le date di modifica dalla fine di febbraio in poi. Se trovi tracce, considera a rischio l’intero dominio: isola il server, cambia le credenziali amministrative e verifica i movimenti nella rete.
Se gestisci un Exchange in sede, in questo momento sei nella lista di mezzo Internet. Le ore libere per occupartene non arriveranno da sole.
