Het 'Nationaal Cyber Security Centrum' (NCSC) adviseert om zo snel mogelijk de vrijgegeven patch te installeren. Tevens raadt het adviesorgaan aan om de Exchange-omgeving te controleren om uit te sluiten dat er misbruik heeft plaatsgevonden.
Zeroday kwetsbaarheden
Eerder deze week dichtte Microsoft vier zogeheten zeroday-kwetsbaarheden in Exchange Server, een programma dat door bedrijven gebruikt wordt om e-mails mee te ontvangen en versturen. Een zeroday is een kwetsbaarheid in de software die sinds dag één bestaat, maar waar de fabrikant en het publiek niets van afweten. Hackers en cybercriminelen zijn hier dol op, omdat het hen in staat stelt om onopgemerkt computersystemen en servers te infiltreren, malware te installeren of andere kwade fratsen uit te halen.
Op haar beveiligingsblog schreef Microsoft dat kwaadwillenden door de zeroday exploits toegang konden krijgen tot Exchange-servers. Als ze eenmaal toegang hadden tot de e-mailaccounts van de medewerkers, konden ze ransomware en andere vormen van malware installeren. De exploits bestaan in Exchange Server die op versie 2013, 2016 en 2019 draaien. Microsoft rolde dinsdag een patch uit voor om de beveiligingslekken te dichten. Het Amerikaanse hard- en softwarebedrijf raadde gebruikers aan om deze zo snel mogelijk te installeren.
Ontdekking door Volexity
Twee van de vier beveiligingslekken kwamen aan het licht dankzij Volexity. Het beveiligingsbedrijf ontdekte in januari dat er grote hoeveelheden data naar verdachte IP-adressen werden verstuurd. Aanvankelijk dachten securityexperts dat hackers gebruik maakten van een achterdeurtje, maar dat bleek niet het geval. In plaats daarvan stelden ze vast dat er meerdere zerodays waren. Eén van de kwetsbaarheden was zo ernstig dat er geen authenticatie nodig was.
Staatshackers Hafnium
Het Microsoft Threat Intelligence Center (MSTIC) zegt dat het ‘vrij zeker’ is dat de zerodays actief zijn misbruikt door HAFNIUM, een groep Chinese staatshackers die buiten China opereren. Dat zou blijken uit de tactieken, procedures en de slachtoffers die ze kozen. Onder meer advocatenkantoren, onderwijsinstellingen, politieke denktanks en non-profitorganisaties zijn geliefde doelwitten van de Chinese hackers. Als ze eenmaal het netwerk zijn binnengedrongen, stelen ze gevoelige data en delen deze op websites als MEGA van Kim Dotcom. HAFNIUM werkt voornamelijk van gehuurde virtual private servers (VPS) in de VS, zo stelt Microsoft.
Uit onderzoek van het MSTIC blijkt dat de Chinese staatshackers in drie stappen te werk gaan. Allereerst dringen ze het netwerk van hun doelwit binnen, hetzij door gebruik te maken van de zeroday exploits, hetzij met behulp van gestolen wachtwoorden. Vervolgens konden ze web shells opzetten op de Exchange Server, waarmee ze op afstand de controle over de server konden overnemen. Tot slot stalen de aanvallers gevoelige data en installeerden ze malware.
Ook in Nederland
Tot nu toe was bekend dat de zeroday exploits in Microsoft Exchange Server actief werden misbruikt in de VS. Dat blijkt ook in ons land het geval te zijn, waarschuwt het Nationaal Cyber Security Centrum (NCSC). “Van een van onze partners hebben wij vernomen dat ook binnen Nederland actief misbruik wordt gemaakt van deze kwetsbaarheden”, schrijft het adviesorgaan in een persbericht. Om welke bedrijven of instellingen het gaat, houdt het NCSC in het midden.
Net als Microsoft adviseert het NCSC om zo snel mogelijk de patch te installeren die Microsoft beschikbaar heeft gesteld. Tevens adviseert de instantie organisaties om hun Exchange-omgeving te controleren om zo uit te sluiten of de beveiligingslekken zijn misbruikt. Systeembeheerders moeten daarbij letten op zogeheten Indicators of Compromise (IOC’s). Dat zijn aanwijzingen in de logbestanden die kunnen duiden op misbruik door hackers. Microsoft heeft PowerShell-scripts beschikbaar gesteld waarmee logbestanden automatisch kunnen worden gecontroleerd. “Houd er rekening mee dat aanwezigheid van deze IoC’s niet noodzakelijkerwijs betekent dat uw Exchange-omgeving is gecompromitteerd”, eindigt het NCSC zijn blog.
Lees ook, wat moet ik doen:
Bron: microsoft.com, ncsc.nl, vpngids.nl
Meer info over ‘Cybercrime’?
Tips of verdachte activiteiten gezien? Meld het hier of anoniem.
Cybercrime gerelateerde berichten
Cybercrime schadepost per incident 'verzesvoudigd' ten opzichtig van vorig jaar
Bedrijven die slachtoffer zijn geworden van cybercrime moeten dit jaar dieper in de buidel tasten. Ten opzichte van vorig jaar is de schadepost per incident verzesvoudigd. Onder 1.971 getroffen bedrijven bedroegen de totale kosten afgelopen jaar zo’n €1,61 miljard. Dat is 61 procent meer dan het jaar ervoor.
Nieuwe cijfers politie: Aantal meldingen van digitale misdaad is bijna zeven keer zo hoog als in voorgaande jaren
Tijdens de coronacrisis is het aantal gevallen van cybercrime gigantisch toegenomen. Dat blijkt uit nieuwe cijfers van de politie. Het aantal meldingen van digitale misdaad is bijna zeven keer zo hoog als in voorgaande jaren.
Zerodaylekken melden of openhouden als Nederlandse overheid?
Partijen in de Tweede Kamer zijn verdeeld over hoe de overheid met zerodaylekken in hard- en software moet omgaan, zo blijkt uit een debat dat deze week werd gevoerd. Het debat ging over een initiatiefwetsvoorstel van D66-Kamerlid Kees Verhoeven. Dat voorstel moet een afwegingsproces creëren voor de omgang met zerodaylekken, kwetsbaarheden waarvan de ontwikkelaar niet op de hoogte is.
Australië doelwit van grote cyberaanval
Australië wordt momenteel getroffen door een grote, goed opgezette cyberaanval. Het land is al een aantal maanden het doelwit van hackers. Dat heeft premier Scott Morrison bekendgemaakt tijdens een persconferentie.
Onderzoekers onthullen de werkwijze van de ongrijpbare InvisiMole-groep
Tijdens het onderzoek naar een nieuwe campagne van 'InvisiMole', een aanvallersgroepering waar onderzoekers voor het eerst verslag van deed in 2018, hebben onderzoekers de bijgewerkte toolset van de groep en de tot dan toe onbekende details over de werking ervan aan het licht gebracht.
Aanvallen via LinkedIn profielen op Europese defensiebedrijven
Nepprofielen op LinkedIn zijn gebruikt om Europese defensie- en lucht- en ruimtevaartbedrijven aan te vallen, zo stelt antivirusbedrijf ESET, dat samen met twee getroffen bedrijven een onderzoek uitvoerde. De aanvallers maakten LinkedIn-profielen aan waarmee ze zich voordeden als HR-managers van Collins Aerospace en General Dynamics, twee Amerikaanse bedrijven die defensie- en luchtvaartproducten leveren.