Hackeo de Microsoft Exchange: 5 consejos para guiar la respuesta de un MSP

Tan pronto como resolvemos una amenaza de ciberseguridad, surge otra en su lugar. La amenaza más reciente que afecta a la comunidad en general es un complejo enredo de información relacionada con Microsoft Exchange, con no solo una, sino múltiples vulnerabilidades de día cero, lo que convierte este problema en algo más que un problema cotidiano. Estas vulnerabilidades implican eludir la autenticación (incluida la autenticación de dos factores) y están inundando muchos boletines de seguridad; entonces, ¿qué está pasando realmente y cómo debes responder?

Comprender la amenaza

Microsoft Exchange está siendo objeto de ataques masivos y se está aprovechando a través de cuatro vulnerabilidades de día cero distintas y complementarias, lo que en última instancia permite a los atacantes obtener acceso a las redes afectadas. Estas cuatro vulnerabilidades forman una combinación ideal, ya que permiten avanzar paso a paso desde un acceso inicial sin autenticación a una instancia de Exchange, escalar privilegios y, finalmente, ejecutar código, lo que permite establecer un acceso persistente a los objetivos.

Tras el lanzamiento fuera de ciclo de los parches para Exchange por parte de Microsoft, la comunidad de seguridad sigue observando que se están llevando a cabo explotaciones activas de manera automatizada y generalizada, y también nota que la frecuencia y las características de estas siguen cambiando. A medida que la comunidad de atacantes vaya obteniendo la cadena de exploits necesaria para llevar a cabo este ataque, es probable que sigan aumentando los escaneos automatizados masivos y la variedad de acciones realizadas.

Sé considerado

Si tú o tus clientes utilizan Exchange y no cuentan con un programa de seguridad integral, existe un riesgo real de que pruebas valiosas puedan desaparecer antes de que puedas iniciar un proceso completo de evaluación o una respuesta, debido a la configuración predeterminada de retención. Es posible que estas vulnerabilidades ya se hayan explotado de manera selectiva desde noviembre y diciembre de 2020, pero parece que los escaneos generalizados comenzaron a finales de febrero de 2021, justo antes de que Microsoft lo revelara públicamente.

Tomarte un momento para detenerte a pensar en la importancia de actuar a tiempo ante la pérdida de evidencia ahora podría resultarte beneficioso más adelante, cuando inicies una iniciativa más amplia de investigación y clasificación. Es probable que los registros de eventos de la web y del sistema desaparezcan, así que echa un vistazo al enlace de FireEye Research incluido en la sección “Consejos de investigación” para poner en marcha esta medida.

Recuerda lo básico

Al pensar en tu plan de respuesta ante incidentes, hay diferentes modelos que puedes consultar. Los dos a los que más se recurre son los del Instituto SANS y el Instituto Nacional de Estándares y Tecnología (NIST). El Marco de Ciberseguridad del NIST reúne los estándares de la industria y las mejores prácticas en un formato coherente para ayudar a las empresas a responder y recuperarse de incidentes de ciberseguridad, analizar las causas fundamentales y realizar mejoras con el tiempo. Ahora es el momento de recordar los fundamentos y adoptar un enfoque mesurado en tu respuesta.

Estamos juntos en esto

Microsoft ha lanzado parches que puedes utilizar para evitar que se sigan aprovechando estas vulnerabilidades en el futuro, y se recomienda que los instales de inmediato. Si no es posible instalar los parches en este momento, a continuación encontrarás enlaces a las recomendaciones de mitigación de Microsoft; sin embargo, cualquier medida que no implique la corrección completa de estas vulnerabilidades debe considerarse una solución temporal. Será necesario realizar una evaluación acelerada y una revisión adicional de la investigación presentada por la comunidad de seguridad para determinar si tú y los tuyos se han visto afectados o no.

• Datto lanzó un “ProxyLogon/Hafnium Scanner” para Microsoft Exchange, disponible en la tienda de aplicaciones de Datto RMM , aprovechando el excelente trabajo realizado por CERT-LV y Microsoft, con el fin de ayudar a identificar una violación de seguridad.
• A continuación se incluyen enlaces a recursos adicionales para obtener más información sobre los ataques de día cero, los indicadores de compromiso (IOC) y los matices de este nuevo tipo de ataque. Si bien estos recursos son un excelente punto de partida, como especialistas en respuesta a incidentes debemos recordar que tenemos que adaptarnos a la situación.

El conocimiento es poder

Microsoft y el equipo de Exchange actualizan constantemente una página de recursos dedicada a estas vulnerabilidades y a este incidente. También hay dos repositorios de GitHub con actualizaciones en tiempo real sobre los indicadores de compromiso (IOC) recién identificados. Hay una cantidad abrumadora de información circulando relacionada con este incidente, y si empiezas por Microsoft y te mantienes atento a las actualizaciones y avisos relevantes de la Agencia de Seguridad Cibernética y de Infraestructura (CISA), estarás bien preparado para mantenerte al tanto de esta situación.

A continuación, hemos recopilado una lista de recursos adicionales para que los MSP puedan hacer frente a este incidente. Manténganse alertas.

• Investigación sobre amenazas: Detección y respuesta ante el aprovechamiento de vulnerabilidades de día cero en Microsoft Exchange
• Medidas de mitigación de vulnerabilidades de Microsoft Exchange Server – actualizado el 9 de marzo de 2021
• Analizar los archivos de registro de Exchange en busca de indicadores de compromiso
• Mitigar las vulnerabilidades de Microsoft Exchange Server
• Vulnerabilidad en Microsoft Exchange Server
• Análisis de los ataques a las plataformas de intercambio y las lecciones que pueden extraer los defensores
• Vulnerabilidades en el servidor Microsoft Exchange: cómo detectarlas, mitigarlas y mantener la calma