A Microsoft Exchange levelezőszerver sérülékenységét használták ki a támadók. Újabb gigantikus botrány tört ki a Microsoft háza táján, a Krebs on Security és a Wired beszámolói alapján az ellátóláncbeli SolarWinds-en keresztüli kivitelezett gigatámadást követően most több tízezer, globálisan akár harmincezernél is több vállalat, kormányszerv és egyéb szervezet levelezéséhez férhettek hozzá illetéktelenek. Az akció januárban kezdődött, de csak február végén kapcsolt a legnagyobb sebességi fokozatba.
A támadók a saját szerveren futtatott Exchange 2013 / 2016 / 2019 levelezőkiszolgálók egy nulladik napi sebezhetőségét használták ki, a hibát a februári hibajavító kedden foltozta be a Microsoft, azaz a naprakész szoftverű kiszolgálók már nincsenek veszélyben.
A sérülékenység kihasználásával a támadók hátsó kaput telepítettek a feltört szerverekre, így távolról be tudtak rájuk jelentkezni, ráadásul adminisztratív jogosultságú felhasználóként. A sebezhető kiszolgálók megkeresését és hackelését automatizált módon végezték, de nem világos, hogy közülük ténylegesen mennyibe léptek be, hogy adatok lopjanak ki róluk.
A biztonsági kutatók szerint a januárban indult támadás mögött a kínai „Hafnium" áll, a feltételezések szerint államilag szponzorált hackerekről beszélünk. A csoport nem ismeretlen, már számos célzott támadást indított például fertőző betegségekkel foglalkozó kutatók, jogi vállalkozások, felsőoktatási intézmények, védelmi beszállítók, nem állami szervezetek és politikai agytrösztök levelezőszerverei ellen. Viszont a korábbi betörések során csendesen dolgozott, a lehető legtovább próbálta odázni a behatolásának felismerését.
Még nem volt rá példa, hogy ágyúval lőjön a verébre, válogatás nélkül hackeljen minden hackelhetőt.
Az Exchange-szervereket üzemeltető rendszergazdák a leggyorsabban elvileg úgy ismerhetik fel az áldozattá válást, ha található nyolc karakteres fájlnevű ASPX-állomány a levelezőszervereik C:\\inetpub\wwwroot\aspnet_client\system_web\ mappájában.
(Forrás: www.origo.hu)
