Kritisk sårbarhet i Exchange e-postserver utnyttjas aktivt

Varningen slopades 15.4.2021.

Exchange e-postserver har en kritisk sårbarhet som utnyttjas aktivt. Uppdateringar för att åtgärda sårbarheten finns tillgängliga och e-postservrarna ska uppdateras genast. Om organisationen har eller har haft en sårbar Exchange-server ska åtgärderna utgå från att organisationen mycket sannolikt har drabbats av dataintrång. För angrepp använder man Exchange-serverns port 443, dvs. komponenten Outlook Web Access (OWA).

Microsoft upptäckte och åtgärdade flera nolldagarssårbarheter som utnyttjades vid riktade angrepp mot e-postservrar Microsoft Exchange Server. Med hjälp av sårbarheterna fick angriparna tillgång till offrens e-postkonton. Därefter har angriparna installerat ett skadligt program som stärkat sitt fotfäste i offrets miljö.

Cybersäkerhetscentret bedömer att sårbarheten har utnyttjats och fortfarande utnyttjas i stor utsträckning för angrepp i Finland. Om organisationen har eller har haft en sårbar Exchange-server ska åtgärderna utgå från att organisationen mycket sannolikt har drabbats av ett lyckat dataintrång.

Cybersäkerhetscentret uppmanar alla finländska organisationer med en sårbar Exchange e-postserver att vidta omedelbara åtgärder för att åtgärda sårbarheterna samt för att hitta och avlägsna s.k. kryphål som angriparna installerat. Organisationerna ska dessutom utreda dataintrånget. Beakta att det inte räcker att bara installera en programuppdatering för att hålla angriparna borta.

Under de senaste dagarna har det förekommit ett stort antal dataintrång i Microsoft Exchange e-postservrar där man installerat en så kallad webshell-bakdörr på servern. Angriparnas metod har redan från senaste år ofta varit att installera Webshell-bakdörrar i offrets miljö speciellt i samband med dataintrång i Exchange-servrar. Angriparna har också många andra verktyg till sitt förfogande men de behandlas inte närmare i denna anvisning. Det lönar sig att leta efter spår av försök att utnyttja följande sårbarheter som korrigerats i början av mars: CVE-2021-26855, CVE-2021-26857, CVE-2021-27065 och CVE-2021-26858. Sök dem i Exchange e-postserverns loggdata i enlighet med Microsofts anvisningar (Extern länk).