Proxyshell: Aktive Angriffe auf verwundbare Exchange-Server
Mit drei bekannten, verketteten Schwachstellen bei Microsoft Exchange verschaffen sich Angreifer die Möglichkeit, aus der Ferne Code auf betroffenen Systemen aufzuführen. Auch wenn bereits seit Mai Patches für die Sicherheitslücken bereitstehen, sind viele Systeme noch nicht aktualisiert und weiterhin verwundbar. Derzeit nutzen Angreifer diese Lücken offenbar aktiv aus.
Die Schwachstellenverkettung wurde Proxyshell genannt, sie nutzt die Lücken CVE-2021-34473, CVE-2021-34523 und CVE-2021-31207. Sicherheitsforscher von Huntress berichten(öffnet im neuen Fenster) , dass sie am Freitag bei rund 1.900 verwundbaren Servern binnen zwei Tagen mehr als 140 kompromittierte Systeme entdeckt hätten. Zuerst demonstriert hatten den Angriff im April Orange Tsai und sein Team. Auf der Black-Hat-Konferenz im August beschrieb Tsai den detaillierten Ablauf(öffnet im neuen Fenster) . Danach begannen Angreifer, ungepatchte Exchange-Server zu suchen(öffnet im neuen Fenster) und anzugreifen.
Eine neue Ransomware-Gruppe nutzt die Lücken aus
In der aktuellen Angriffswelle ist offenbar eine neue Ransomware-Gruppe namens Lockfile(öffnet im neuen Fenster) aktiv: Sie sucht nach verwundbaren Servern, um über einen weiteren bekannten NTLM-Relay-Angriff(öffnet im neuen Fenster) ganze Domänen zu übernehmen und Rechner zu verschlüsseln. Das beobachteten IT-Sicherheitsforscher von Symantec(öffnet im neuen Fenster) und berichten von Betroffenen im Bereich von etwa Finanzdienstleistern und Fabriken.
Das Bundes-Cert warnte am Wochenende(öffnet im neuen Fenster) davor, dass die Schwachstellen derzeit massiv ausgenutzt würden und rief dazu auf, den Patch-Status von Exchange-Servern zu prüfen und gegebenenfalls zu aktualisieren.
Microsoft Exchange Server sind ein beliebtes Angriffsziel. Immer wieder werden Schwachstellen bekannt, die beispielsweise eine Rechteausweitung ermöglichen . Anfang des Jahres sollen über zuvor unbekannte Schwachstellen allein in den USA 30.000 Firmen und Regierungseinrichtungen gehackt worden sein.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.