Respondemos a la pregunta ¿qué es Microsoft Exchange Server? y describimos sus vulnerabilidades y cómo solucionarlas, considerando el incremento de las amenazas recientes.
¿Qué es Microsoft Exchange Server?
Es un software desarrollado por Microsoft que brinda un sistema de mensajería, el cual incluye un servidor de correo, un programa de correo electrónico y diversas aplicaciones para el trabajo en equipo.
Forma parte de la familia Microsoft Server y es utilizado por empresas. Uno de sus principales objetivos es que busca la colaboración entre usuarios en un entorno comercial.
El servidor de Exchange generalmente se utiliza en conjunto con Microsoft Outlook, para aprovechar sus características tales como la capacidad para compartir calendarios y listas de contactos, entre otros.
Ventajas de usar Microsoft Exchange en tu empresa
Permite la gestión y administración de e-mails, almacenar información, nombrar calendarios, contactos y tareas compartidas.
Tiene la capacidad de soportar POP, IMAP, emails web y a su propio cliente de correo Microsoft Outlook.
A su vez, puede sincronizarse en la nube y en dispositivos actualizados en tiempo real, así como protección antimalware y antispam incluida (protección en línea de Exchange).
Tiene un sistema de calendario en la que se pueden capturar eventos, como vuelos y reservas de hotel, así como obtener sugerencias sobre los lugares.
Vulnerabilidades en Microsoft Exchange Server
De acuerdo con FortiGuard Labs hasta 30 mil empresas y agencias gubernamentales en los Estados Unidos han sido blanco recientemente de una agresiva campaña de hacking que explota vulnerabilidades en versiones de Microsoft Exchange Server, y algunos expertos afirman que se han explotado “cientos de miles” de servidores Exchange en el mundo.
Microsoft atribuye estos ataques a una organización de ciberespionaje conocida como HAFNIUM, que opera desde China continental.
Este vector de explotación se dirige a los servidores Microsoft Exchange capaces de recibir conexiones que no son de confianza de una fuente externa.
Entre sus capacidades se encuentra un ataque de ejecución remota de código (RCE) que permite a los atacantes instalar puertas traseras (backdoors) en la red para su uso posterior.
Una vez instaladas, estas puertas traseras pueden permanecer activas incluso después de aplicar los parches para el exploit original.
Las acciones de Microsoft
El 2 de marzo, Microsoft lanzó varios parches para sus versiones on-premises de Exchange Server 2013, Exchange Server 2016 y Exchange Server 2019. Estos parches fueron en respuesta a varios ataques dirigidos a las vulnerabilidades CVE-2021-26855, CVE- 2021-26857, CVE-2021-26858 y CVE-2021-27065.
Desde el lanzamiento de estos parches, HAFNIUM ha acelerado la explotación de estas vulnerabilidades, probablemente buscando comprometer a tantas organizaciones como sea posible antes de que las empresas puedan aplicar los parches de Microsoft.
Según Microsoft, HAFNIUM es un grupo de ciberespionaje patrocinado por el estado que se dirige principalmente a entidades en los Estados Unidos en una serie de sectores industriales, incluidos investigadores de enfermedades infecciosas, bufetes de abogados, instituciones de educación superior, contratistas de defensa, grupos de expertos en políticas y ONGs.
Su objetivo principal es obtener acceso a redes valiosas con el fin de filtrar datos a sitios de intercambio de archivos como MEGA.
Sin embargo, informes recientes han demostrado que esta es ahora una campaña global que está siendo aprovechada por otros atacantes como resultado de revertir el parche, para causar más daño.
Los equipos FortiGuard Labs y de Microsoft se pusieron en contacto a través de su membresía en el MAPP (Microsoft Active Protections Program).
Fortinet publicó un informe de Threat Signal con detalles y lanzó cuatro parches FortiGuard IPS para proteger a los clientes de Fortinet de estos ataques.
Cómo solucionar las vulnerabilidades de Microsoft Exchange Server
Si la organización es vulnerable a este exploit, se recomiendan las siguientes acciones:
- Aplique un “hot patch”. Esta es la estrategia de actualizar los dispositivos de seguridad para bloquear automáticamente los intentos de explotación.
- Realice un inventario de activos para identificar los servidores Microsoft Exchange afectados implementados en su organización.
- Ejecute comprobaciones de versión para ver si se han parcheado.
- Aplicar los parches adecuados siempre que sea posible. Los dispositivos que no se pueden parchear deben protegerse con un dispositivo de seguridad capaz de detectar y prevenir tal vulnerabilidad.
- Implementar escaneo avanzado aprovechando los indicadores de compromiso conocidos para detectar abandonos y comportamientos anómalos que resultan de un exploit exitoso, como el uso de una puerta trasera no autorizada.
Debido a la facilidad de interrupción que permite este exploit y al potencial de dañar las operaciones diarias, es esencial que las organizaciones mantengan actualizadas todas las firmas de antivirus (AV) e IPS.
Es fundamental que las organizaciones establezcan una evaluación de seguridad periódica y una rutina de parcheo. Esto garantiza que todas las vulnerabilidades conocidas por los proveedores se aborden y actualicen constantemente para evitar que los atacantes establezcan un punto de apoyo dentro de la red, señala Fortinet.
Leíste: ¿Qué es Microsoft Exchange Server?: vulnerabilidades y cómo solucionarlas, te recomendamos: Microsoft presenta soluciones y actualizaciones durante Microsoft Ignite 2021
Síguenos en nuestras redes sociales: