Multiple vulnerabilități exploatate pentru a atinge scopuri malițioase
Malware-ul de tip keylogger reprezintă o amenințare deosebit de periculoasă, deoarece este de obicei conceput pentru a captura date de autentificare sau alte date sensibile de la utilizatori. Când adăugați un server Exchange compromis în ecuație, se creează o situație și mai neplăcută pentru orice organizație.
Cercetătorii de la Positive Technologies au dezvăluit recent un nou studiu privind o campanie bazată pe keyloggere care vizează organizații din întreaga lume. Campania, care seamănă cu un atac similar descoperit în 2024, se concentrează pe instalații compromise de Microsoft Exchange Server aparținând unui număr de 65 de victime din 26 de țări.
Infractorii cibernetici au compromis serverele Exchange fie prin exploatarea unor vulnerabilități de securitate binecunoscute, fie prin metode complet necunoscute. După obținerea accesului, hackerii au implementat keyloggere JavaScript concepute pentru a intercepta datele de autentificare de pe pagina Outlook on the Web a organizației.
OWA servește drept versiune web a Microsoft Outlook și face parte atât din platforma Exchange Server, cât și din serviciul Exchange Online din cadrul Microsoft 365. Potrivit studiului, keyloggerele JavaScript au oferit atacatorilor persistență pe serverele compromise și au rămas nedetectate timp de luni de zile.
Cercetătorii au descoperit mai multe keyloggere, clasificându-le în două tipuri principale: cele concepute pentru a scrie intrările capturate într-un fișier pe serverul local – accesibil de pe internet la o dată ulterioară – și cele care trimiteau datele de autentificare furate prin rețeaua globală prin tuneluri DNS sau boți Telegram. Fișierele care conțineau datele înregistrate erau marcate corespunzător pentru a facilita identificarea organizației compromise de către infractorii cibernetici.
Majoritatea serverelor Exchange compromise aparțineau organizațiilor guvernamentale, au explicat cercetătorii PT. Alte victime operau în sectoare precum IT, industrial și logistică. Majoritatea infecțiilor au fost descoperite în Rusia, Vietnam și Taiwan, nouă companii compromise fiind localizate numai în Rusia.
Cercetătorii au subliniat că un număr mare de servere Exchange rămân vulnerabile la defecte de securitate cunoscute de mult timp. Companiile ar trebui să trateze vulnerabilitățile de securitate ca pe niște probleme critice, stabilind procese adecvate de gestionare a vulnerabilităților, au sfătuit experții PT.
În plus, organizațiile care utilizează platforma Microsoft ar trebui să implementeze aplicații web moderne și sisteme de protecție pentru a detecta activitatea de rețea malițioasă. Scanarea regulată a fișierelor legate de autentificarea utilizatorilor pentru cod potențial malițios poate fi, de asemenea, o practică utilă.
