Embora a Microsoft ainda não tenha corrigido as vulnerabilidades do ProxyNotShell encontradas no Exchange no mês passado, a empresa agora está investigando um relatório de um novo bug de dia 0 que está sendo usado para comprometer servidores Exchange. Os hackers estão explorando esse bug para implantar o ransomware LockBit.
Deixe-me lembrá-lo de que também escrevemos isso ProxyToken Vulnerabilidade permite roubar correspondência Microsoft Exchange, e também isso FBI removeu web shells de servidores Microsoft Exchange vulneráveis sem informar os proprietários.
A empresa sul-coreana AhnLab alertou que hackers abusaram outra vulnerabilidade de dia 0 . Pesquisadores relatam que têm conhecimento de pelo menos um incidente ocorrido em julho 2022, quando os invasores usaram um web shell implantado anteriormente em um servidor Exchange para elevar privilégios ao nível de administrador do Active Directory e roubar arquivos 1.3 TB de dados e criptografar sistemas de empresas vítimas.
Os especialistas que investigaram o incidente escrevem que os invasores levaram apenas uma semana para capturar a conta do administrador do Active Directory. Ao mesmo tempo, o servidor Exchange parece ter sido comprometido usando algum tipo de “vulnerabilidade não revelada de dia zero”, embora a empresa vítima tenha recebido suporte técnico da Microsoft e instalado regularmente atualizações de segurança após outro comprometimento ocorrido em dezembro 2021.
Ao mesmo tempo, AhnLab não tem certeza de que os criminosos não exploraram os já mencionados ProxyNotShell vulnerabilidades, embora as táticas de ataque fossem completamente diferentes.
Embora os especialistas da AhnLab não tenham certeza absoluta, vale ressaltar que os especialistas em segurança da informação estão cientes de pelo menos mais três vulnerabilidades não divulgadas no Exchange. Então, mês passado, especialistas do Iniciativa Dia Zero disse à Microsoft que descobriu três problemas no Exchange de uma só vez, que eles rastreiam sob os identificadores ZDI-CAN-18881, ZDI-CAN-18882 e ZDI-CAN-18932. Seguindo isto, no início de outubro, Tendência Micro assinaturas adicionadas para três vulnerabilidades críticas de dia zero do Microsoft Exchange em sua plataforma N, Plataforma NX, ou produtos de segurança TPS.
Até aqui, A Microsoft não divulgou nenhuma informação sobre esses três bugs, e eles ainda não receberam IDs CVE.
