Betroffen sind die Systeme in den Versionen 2010, 2013, 2016 und 2019. Dieser Angriff setzt einen aktiven Outlook Web Access (OWA) voraus. Infolgedessen wurde weltweit ein starker Anstieg an Scan-Aktivitäten auf diese Sicherheitslücken hin beobachtet. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Bedrohungslage als „4 – sehr hoch“ eingestuft.
Wie erst jetzt bekannt wurde, hatte eine chinesische Hackergruppe weltweit bereits hunderttausende solcher Server mit einem Tool ausgestattet, das es ihnen ermöglicht, diese mit einem üblichen Browser aus dem Internet fernzusteuern. Auch in Deutschland sind vermutlich bereits tausende Systeme infiziert. Mindestens 30.000 Organisationen und Firmen in den USA hatten in den letzten Tagen ein Hacking ihrer Systeme gemeldet, so schreibt es das Online-Magazin KrebsOnSecurity.
Es dreht sich um insgesamt vier neu entdeckte Sicherheitslücken in der Microsoft Exchange Server-E-Mail Software. Die eigentlichen Schwachstellen hatte Microsoft am 2. März publik gemacht, da zu diesem Zeitpunkt bereits Angriffe beobachtet wurden. Einen Tag später wurden die Lücken mit Sicherheitsupdates geschlossen. Falls Sie solch ein Exchange-System in Ihrer Firma oder Organisation betreiben, wird es Zeit zu handeln!
Tipps
- Falls noch nicht geschehen, wird dringend angeraten, die betreffenden Patches vom 3. März einzuspielen.
- Außerdem sollte man – laut Empfehlung verschiedener Online-Sicherheits-Medien – mit Hilfe eines PowerShell-Skripts von Microsoft prüfen, ob der Exchange-Server bereits kompromittiert worden ist.
- Untersuchen Sie die Windows Event-Logs nach Auffälligkeiten.
Links
KrebsOnSecurity: https://krebsonsecurity.com/2021/03/at-least-30000-u-s-organizations-newly-hacked-via-holes-in-microsofts-email-software/
PowerShell-Skript zur Überprüfung einer Kompromittierung: https://github.com/microsoft/CSS-Exchange/tree/main/Security
Warnung des BSI: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2021/2021-197772-1132.pdf?__blob=publicationFile&v=8
Infos: Danny Loos, RCCU
