Zeroday exploits in Microsoft Exchange Server worden actief misbruikt in Nederland

Gepubliceerd op 5 maart 2021 om 17:02

Het 'Nationaal Cyber Security Centrum' (NCSC) adviseert om zo snel mogelijk de vrijgegeven patch te installeren. Tevens raadt het adviesorgaan aan om de Exchange-omgeving te controleren om uit te sluiten dat er misbruik heeft plaatsgevonden.

Zeroday kwetsbaarheden

Eerder deze week dichtte Microsoft vier zogeheten zeroday-kwetsbaarheden in Exchange Server, een programma dat door bedrijven gebruikt wordt om e-mails mee te ontvangen en versturen. Een zeroday is een kwetsbaarheid in de software die sinds dag één bestaat, maar waar de fabrikant en het publiek niets van afweten. Hackers en cybercriminelen zijn hier dol op, omdat het hen in staat stelt om onopgemerkt computersystemen en servers te infiltreren, malware te installeren of andere kwade fratsen uit te halen.

Op haar beveiligingsblog schreef Microsoft dat kwaadwillenden door de zeroday exploits toegang konden krijgen tot Exchange-servers. Als ze eenmaal toegang hadden tot de e-mailaccounts van de medewerkers, konden ze ransomware en andere vormen van malware installeren. De exploits bestaan in Exchange Server die op versie 2013, 2016 en 2019 draaien. Microsoft rolde dinsdag een patch uit voor om de beveiligingslekken te dichten. Het Amerikaanse hard- en softwarebedrijf raadde gebruikers aan om deze zo snel mogelijk te installeren.

Ontdekking door Volexity

Twee van de vier beveiligingslekken kwamen aan het licht dankzij Volexity. Het beveiligingsbedrijf ontdekte in januari dat er grote hoeveelheden data naar verdachte IP-adressen werden verstuurd. Aanvankelijk dachten securityexperts dat hackers gebruik maakten van een achterdeurtje, maar dat bleek niet het geval. In plaats daarvan stelden ze vast dat er meerdere zerodays waren. Eén van de kwetsbaarheden was zo ernstig dat er geen authenticatie nodig was.

Staatshackers Hafnium

Het Microsoft Threat Intelligence Center (MSTIC) zegt dat het ‘vrij zeker’ is dat de zerodays actief zijn misbruikt door HAFNIUM, een groep Chinese staatshackers die buiten China opereren. Dat zou blijken uit de tactieken, procedures en de slachtoffers die ze kozen. Onder meer advocatenkantoren, onderwijsinstellingen, politieke denktanks en non-profitorganisaties zijn geliefde doelwitten van de Chinese hackers. Als ze eenmaal het netwerk zijn binnengedrongen, stelen ze gevoelige data en delen deze op websites als MEGA van Kim Dotcom. HAFNIUM werkt voornamelijk van gehuurde virtual private servers (VPS) in de VS, zo stelt Microsoft.

Uit onderzoek van het MSTIC blijkt dat de Chinese staatshackers in drie stappen te werk gaan. Allereerst dringen ze het netwerk van hun doelwit binnen, hetzij door gebruik te maken van de zeroday exploits, hetzij met behulp van gestolen wachtwoorden. Vervolgens konden ze web shells opzetten op de Exchange Server, waarmee ze op afstand de controle over de server konden overnemen. Tot slot stalen de aanvallers gevoelige data en installeerden ze malware.

Ook in Nederland

Tot nu toe was bekend dat de zeroday exploits in Microsoft Exchange Server actief werden misbruikt in de VS. Dat blijkt ook in ons land het geval te zijn, waarschuwt het Nationaal Cyber Security Centrum (NCSC). “Van een van onze partners hebben wij vernomen dat ook binnen Nederland actief misbruik wordt gemaakt van deze kwetsbaarheden”, schrijft het adviesorgaan in een persbericht. Om welke bedrijven of instellingen het gaat, houdt het NCSC in het midden.

Net als Microsoft adviseert het NCSC om zo snel mogelijk de patch te installeren die Microsoft beschikbaar heeft gesteld. Tevens adviseert de instantie organisaties om hun Exchange-omgeving te controleren om zo uit te sluiten of de beveiligingslekken zijn misbruikt. Systeembeheerders moeten daarbij letten op zogeheten Indicators of Compromise (IOC’s). Dat zijn aanwijzingen in de logbestanden die kunnen duiden op misbruik door hackers. Microsoft heeft PowerShell-scripts beschikbaar gesteld waarmee logbestanden automatisch kunnen worden gecontroleerd. “Houd er rekening mee dat aanwezigheid van deze IoC’s niet noodzakelijkerwijs betekent dat uw Exchange-omgeving is gecompromitteerd”, eindigt het NCSC zijn blog.

Kwetsbaarheden In Microsoft Exchange Server In Nederland Actief Misbruikt
PDF – 65,6 KB 296 downloads

Bron: microsoft.com, ncsc.nl, vpngids.nl

Meer info over ‘Cybercrime’?

Tips of verdachte activiteiten gezien? Meld het hier of anoniem.

Cybercrime gerelateerde berichten

Online gamers aantrekkelijk doelwit voor cybercriminelen

In de afgelopen maanden hebben Nederlanders zich in de quarantaineperiode massaal gestort op het oppakken van oude hobby’s in en rondom het huis: van koken tot het spelen van traditionele (bord)spellen en ander vermaak. Een groot deel van de Nederlanders heeft er echter voor gekozen zich te storten op een virtuele ontsnapping aan de werkelijkheid: online gamen.

Lees meer »

Help! Ik ben opgelicht !!

De politie neemt elke dag aangiften op van veel zaken als vernieling, diefstal of mishandeling en oplichting. Bij oplichting wordt op een slinkse manier het vertrouwen gewonnen van veel mensen "we zien als politie dat er op deze manier veel geld wordt overgemaakt naar oplichters. Veel mensen maken tegenwoordig gebruik van sociale media zoals Facebook, Instagram en Snapchat. En ook handelen we bijna allemaal wel via Marktplaats of E-bay. Bij al deze online activiteiten laten we (meestal onbewust) informatie achter, die bruikbaar is voor oplichters. Hieronder enkele voorbeelden." aldus de politie

Lees meer »

FBI bereikte op 12 maart '5 miljoen aangiftes'

In 20 jaar tijd heeft de FBI maar liefst 5 miljoen aangiftes ontvangen van Amerikanen die het slachtoffer zijn van cybercrime. Als de Amerikaanse veiligheidsdienst iets heeft geleerd in deze periode, is dat de online omgeving continu verandert en dat cybercriminelen met de tijd meegaan. Nu het coronavirus de gemoederen bezighoudt, maken hackers overuren.

Lees meer »