Cerca de 30 mil empresas e agências governamentais nos Estados Unidos foram alvo de uma campanha agressiva de hacking que explora vulnerabilidades em versões do Microsoft Exchange Server, com alguns especialistas alegando que “centenas de milhares” de servidores Exchange foram explorados em todo o mundo.
O Microsoft Exchange Server é usado por milhões de organizações para e-mail e calendário. Esse vetor de exploração tem como alvo os Microsoft Exchange Servers capazes de receber conexões não confiáveis de uma fonte externa. Entre seus recursos está um ataque de execução remota de código (Remote Code Execution – RCE) que permite que os invasores instalem backdoors na rede para uso posterior. Depois de instalados, esses backdoors podem permanecer ativos mesmo após aplicação do patch para o exploit original.
No último 2 de março, a Microsoft lançou vários patches para suas versões locais do Exchange Server 2013, Exchange Server 2016 e Exchange Server 2019. Esses patches vieram em resposta a vários ataques dirigidos às vulnerabilidades CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 e CVE-2021-27065.
O serviço online do Microsoft Exchange Server não está afetado. Desde o lançamento desses patches, o HAFNIUM acelerou a exploração dessas vulnerabilidades, provavelmente procurando comprometer o máximo de organizações possível antes que as empresas possam aplicar os patches da Microsoft.
De acordo com a Microsoft, HAFNIUM é um grupo de espionagem cibernética patrocinado pelo estado que visa principalmente entidades nos Estados Unidos em uma série de setores da indústria, incluindo pesquisadores de doenças infecciosas, escritórios de advocacia, instituições de ensino superior, empresas de defesa, think tanks políticas e ONGs.
Seu objetivo principal é obter acesso a redes valiosas com a finalidade de vazar dados para sites de compartilhamento de arquivos como o MEGA. No entanto, relatórios recentes mostraram que esta é agora uma campanha global sendo aproveitada por outros atacantes como resultado da reversão do patch para causar mais danos.
A equipes do FortiGuard Labs e da Microsoft entraram imediatamente em contato por meio do MAPP (Microsoft Active Protections Program), um programa do qual a Fortinet participa desde 2005. A Fortinet publicou um relatório de Threat Signal com detalhes sobre esse exploit em 3 de março. Ela também lançou quatro patches FortiGuard IPS, em 3 e 4 de março, para proteger os clientes Fortinet desses ataques.
