Piratage de Microsoft Exchange : 5 conseils pour guider la réponse d'un MSP

À peine avons-nous neutralisé une menace de cybersécurité qu’une autre surgit aussitôt à sa place. La toute dernière menace qui touche l’ensemble de la communauté est un enchevêtrement complexe d’informations liées à Microsoft Exchange, comportant non pas une, mais plusieurs failles « zero-day », ce qui en fait bien plus qu’un simple problème quotidien. Ces failles impliquent un contournement de l’authentification (y compris l’authentification à deux facteurs) et font l’objet de nombreux bulletins de sécurité. Que se passe-t-il réellement et comment devez-vous réagir ?

Comprendre la menace

Microsoft Exchange fait l'objet d'attaques massives et est exploité via quatre vulnérabilités « zero-day » distinctes et complémentaires, ce qui permet finalement aux attaquants de prendre pied dans les réseaux affectés. Ces quatre vulnérabilités forment une combinaison idéale, car elles permettent, étape par étape, d'accéder initialement à une instance Exchange sans authentification, d'élever les privilèges et, au final, d'exécuter du code, ce qui permet d'établir un accès persistant aux cibles.

Suite à la publication hors cycle de correctifs Exchange par Microsoft, la communauté de la sécurité continue d'observer des exploitations actives menées de manière automatisée et à grande échelle, et constate également que leur fréquence et leurs caractéristiques évoluent. À mesure que les pirates se procurent la chaîne d'exploits nécessaire pour mener à bien cette attaque, les analyses automatisées de masse et la diversité des actions menées devraient continuer à s'intensifier.

Faites preuve de considération

Si vous ou vos clients utilisez Exchange et ne disposez pas d’un programme de sécurité complet, il existe un risque réel que des preuves précieuses disparaissent avant même que vous ne lanciez une opération complète de triage ou d’intervention, en raison des paramètres de conservation par défaut. Ces vulnérabilités ont peut-être été exploitées de manière ciblée dès novembre et décembre 2020, mais des analyses à grande échelle semblent avoir commencé fin février 2021, juste avant la divulgation publique par Microsoft.

Prendre le temps de réfléchir à l’urgence de la situation et au risque de perdre des preuves dès maintenant pourrait s’avérer payant plus tard, lorsque vous lancerez une initiative de plus grande envergure pour mener une enquête et effectuer un triage. Les journaux d’événements Web et système risquent de disparaître ; consultez donc le lien vers FireEye Research figurant dans la section « Conseils d’enquête » pour vous lancer rapidement dans cette tâche.

N'oubliez pas les principes fondamentaux

Lorsque vous élaborez votre plan d’intervention en cas d’incident, vous pouvez vous inspirer de différents modèles. Les deux plus couramment cités sont ceux du SANS Institute et du National Institute for Standards and Technology (NIST). Le cadre de cybersécurité du NIST rassemble les normes du secteur et les meilleures pratiques dans un format cohérent afin d’aider les entreprises à réagir aux incidents de cybersécurité, à s’en remettre, à en analyser les causes profondes et à s’améliorer au fil du temps. C’est le moment de vous rappeler les principes fondamentaux et d’adopter une approche mesurée dans votre intervention.

On est tous dans le même bateau

Microsoft a publié des correctifs qui vous permettront d’empêcher toute exploitation future de ces failles ; il est recommandé de les installer sans délai. Si cela n’est pas possible pour le moment, vous trouverez ci-dessous les liens vers les recommandations de Microsoft en matière de mesures d’atténuation. Toutefois, toute solution autre que l’application complète de ces correctifs doit être considérée comme une solution temporaire. Un triage accéléré et un examen approfondi des recherches présentées par la communauté de la sécurité seront nécessaires pour déterminer si vous et vos proches avez été affectés ou non.

• Datto a publié un « scanner ProxyLogon/Hafnium » pour Microsoft Exchange, disponible dans la boutique ComStore de l'Datto RMM . Cet outil s'appuie sur l'excellent travail réalisé par le CERT-LV et par Microsoft pour aider à détecter une éventuelle compromission.
• Vous trouverez ci-dessous des liens vers des ressources supplémentaires pour en savoir plus sur les failles « zero-day », les indicateurs de compromission (IOC) et les subtilités de cette nouvelle attaque. Bien que ces ressources constituent un excellent point de départ, nous devons garder à l'esprit, en tant que professionnels de la sécurité informatique, que nous devons nous adapter à l'évolution de la situation.

Savoir, c'est pouvoir

Microsoft et l'équipe Exchange mettent régulièrement à jour une page dédiée à ces vulnérabilités et à cet incident. Il existe également deux dépôts GitHub proposant des mises à jour en temps réel concernant les indicateurs de compromission (IOC) nouvellement identifiés. Il y a une quantité impressionnante d'informations qui circulent au sujet de cet incident ; si vous commencez par vous renseigner auprès de Microsoft et que vous restez attentif aux mises à jour et avis pertinents publiés par l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA), vous serez bien placé pour garder le contrôle de la situation.

Nous avons dressé ci-dessous une liste de ressources supplémentaires destinées aux MSP pour les aider à faire face à cet incident. Restez vigilants.

• Recherche sur les menaces : détection et réponse face à l'exploitation des vulnérabilités « zero-day » de Microsoft Exchange
• Mesures d'atténuation des vulnérabilités de Microsoft Exchange Server – mise à jour du 9 mars 2021
• Analyser les fichiers journaux d'Exchange à la recherche d'indicateurs de compromission
• Réduire les vulnérabilités de Microsoft Exchange Server
• Compromission de Microsoft Exchange Server
• Analyse des attaques visant les plateformes d'échange et enseignements à en tirer pour les défenseurs
• Exploitation du serveur Microsoft Exchange : comment la détecter, la contrer et garder son sang-froid