Se abre la veda de los ataques a empresas gracias al fallo de Microsoft Exchange Server

Para quien no lo conozca, Microsoft Exchange Server es un sistema de mensajer¨ªa con un servidor de correo, un programa de email y aplicaciones de trabajo en grupo. Exchange se ejecuta en los servidores de Microsoft Servers, y est¨¢ dise?ado para ser usado en un entorno comercial. De hecho Exchange es muy usado en el ¨¢mbito de las grandes empresas, y parece un buen objetivo si te dedicas al Cibercrimen o al terrorismo inform¨¢tico.

Microsoft Exchange Server hackeado

El martes pasado, Microsoft anunci¨® que un grupo de hackers vinculados a China hab¨ªa hackeado su popular servicio de correo electr¨®nico, lo que les ha permitido acceder a ordenadores y sistemas.

En una entrada en su blog oficial, la compa?¨ªa dijo que cuatro vulnerabilidades en su software permitieron a los hackers acceder a los servidores de Microsoft Exchange, "lo que permiti¨® el acceso a las cuentas de correo electr¨®nico, y permiti¨® la instalaci¨®n de malware adicional para facilitar el acceso a largo plazo a los entornos de las v¨ªctimas."

La firma a?adi¨® que la plataforma online de Exchange, la versi¨®n del servicio basada en la nube, no se vio afectada. Y por ello, Microsoft insta ahora a los usuarios a descargar los parches de software, para las cuatro vulnerabilidades diferentes que se encontraron, ya que si tienes aunque sea una de ellas, ¨¦sta puede permitir a un cibercriminal ejecutar c¨®digo de forma remota, tomar el control del sistema afectado o acceder a informaci¨®n confidencial.

Microsoft ha publicado varias actualizaciones en funci¨®n de la versi¨®n de software afectado -Exchange Server 2013, Exchange Server 2016 y Exchange Server 2019-, en los enlaces que te dejamos a continuaci¨®n:

Hackeados por HAFNIUM

Preguntados por quienes han sido los responsables, en Microsoft han se?alado que creen que los ataques fueron llevados a cabo por Hafnium, "un grupo que se considera patrocinado por el Estado y que opera desde China".

Si bien la compa?¨ªa no ha dado pruebas que apoyen la evaluaci¨®n, sostiene que los responsables, "patrocinados por el Estado", fueron identificados por el Centro de Inteligencia de Amenazas de Microsoft sobre la base de las "t¨¢cticas y procedimientos" observados.

Veda abierta: Se triplican los ataques a empresas

Como se?alan los expertos en ciberseguridad de Checkpoint, desde las vulnerabilidades recientemente reveladas en los servidores Microsoft Exchange "se ha iniciado una carrera completa entre los hackers y los profesionales de la seguridad". Los expertos mundiales est¨¢n realizando esfuerzos preventivos masivos para combatir a los hackers que trabajan d¨ªa a d¨ªa para producir un exploit que pueda aprovechar con ¨¦xito las vulnerabilidades de ejecuci¨®n remota de c¨®digo en Microsoft Exchange.

El n¨²mero de intentos de ataque ha sido de m¨¢s de 1800 exploits en cientos de organizaciones de todo el mundo. Si se observa el ataque desde una perspectiva geogr¨¢fica, los 3 pa¨ªses m¨¢s atacados son:

Por sectores industriales m¨¢s atacados la lista queda as¨ª:

Las vulnerabilidades permiten a un atacante leer los mensajes de correo electr¨®nico de un servidor Exchange sin necesidad de autenticarse o acceder a la cuenta de correo electr¨®nico de un individuo. Adem¨¢s, el encadenamiento de vulnerabilidades permite a los atacantes tomar el control completo del propio servidor de correo.

Una vez que un atacante se hace con el control del servidor Exchange, puede abrir la red a Internet y acceder a ¨¦l de forma remota. Dado que muchos servidores Exchange est¨¢n expuestos a Internet (concretamente a la funci¨®n Outlook Web Access) y est¨¢n integrados en la red m¨¢s amplia, esto supone un riesgo de seguridad cr¨ªtico para millones de organizaciones.

Las 4 vulnerabilidades en detalle

- CVE-2021-26855:? Es una vulnerabilidad de falsificaci¨®n de solicitudes del lado del servidor (SSRF) en Exchange que permite al atacante enviar solicitudes HTTP arbitrarias y autenticarse como el servidor de Exchange.

- CVE-2021-26857: Es una vulnerabilidad de deserializaci¨®n insegura en el servicio de Mensajer¨ªa Unificada. La deserializaci¨®n insegura es cuando los datos no confiables controlados por el usuario son desterializados por un programa. La explotaci¨®n de esta vulnerabilidad da a HAFNIUM la capacidad de ejecutar c¨®digo como SYSTEM en el servidor Exchange. Esto requiere permiso de administrador u otra vulnerabilidad para explotarla.

- CVE-2021-26858: Es una vulnerabilidad de escritura arbitraria de archivos despu¨¦s de la autenticaci¨®n en Exchange. Si HAFNIUM pudiera autenticarse en el servidor Exchange, podr¨ªa utilizar esta vulnerabilidad para escribir un archivo en cualquier ruta del servidor. Podr¨ªan autenticarse explotando la vulnerabilidad CVE-2021-26855 SSRF o comprometiendo las credenciales de un administrador leg¨ªtimo.

- CVE-2021-27065: Es una vulnerabilidad de escritura arbitraria de archivos posterior a la autenticaci¨®n en Exchange. Si HAFNIUM pudiera autenticarse con el servidor Exchange, podr¨ªa utilizar esta vulnerabilidad para escribir un archivo en cualquier ruta del servidor. Podr¨ªan autenticarse explotando la vulnerabilidad CVE-2021-26855 SSRF o comprometiendo las credenciales de un administrador leg¨ªtimo.