Microsoft Exchange Hack: 5 tips voor een MSP-reactie

Zodra we één cyberbeveiligingsdreiging hebben aangepakt, duikt er meteen weer een nieuwe op. De nieuwste dreiging die de bredere gemeenschap treft, is een ingewikkelde wirwar van informatie rond Microsoft Exchange, met niet slechts één, maar meerdere zero-day-exploits, waardoor dit meer is dan zomaar een alledaags probleem. Deze exploits hebben betrekking op het omzeilen van authenticatie (inclusief tweefactorauthenticatie) en vullen talrijke beveiligingsbulletins – dus wat is er nu eigenlijk aan de hand en hoe moet u hierop reageren?

De dreiging begrijpen

Microsoft Exchange wordt op grote schaal aangevallen en misbruikt via vier verschillende, elkaar aanvullende zero-day-kwetsbaarheden, waardoor aanvallers uiteindelijk voet aan de grond krijgen in de getroffen netwerken. De vier kwetsbaarheden vormen een ideale combinatie, aangezien ze stap voor stap leiden van een eerste, niet-geverifieerde toegang tot een Exchange-instantie, via het escaleren van rechten, tot uiteindelijk het uitvoeren van code, waarmee blijvende toegang tot de doelwitten wordt verkregen.

Na de buiten de reguliere release om uitgegeven Exchange-patches van Microsoft constateert de beveiligingsgemeenschap nog steeds dat er op grote schaal en geautomatiseerd misbruik plaatsvindt, waarbij ook de frequentie en de kenmerken ervan blijven veranderen. Naarmate de groep aanvallers de reeks exploits in handen krijgt die nodig is om deze aanval uit te voeren, zullen de grootschalige geautomatiseerde scans en de verscheidenheid aan aanvalsmethoden waarschijnlijk blijven toenemen.

Wees attent

Als u of uw klanten Exchange gebruiken en geen uitgebreid beveiligingsprogramma hebben, bestaat er een reële kans dat waardevol bewijsmateriaal verdwijnt voordat u een grondige triage of responsactie kunt starten, als gevolg van de standaardinstellingen voor het bewaren van gegevens. Deze kwetsbaarheden zijn mogelijk al in november en december 2020 op gerichte wijze misbruikt, maar grootschalige scans lijken pas eind februari 2021 te zijn begonnen, vlak voordat Microsoft dit openbaar maakte.

Als u even de tijd neemt om stil te staan bij het feit dat het nu van groot belang is om bewijsmateriaal te bewaren, kan dat zich later uitbetalen wanneer u een groter onderzoek en een eerste beoordeling van de situatie start. Web- en systeemlogboeken verdwijnen waarschijnlijk, dus bekijk de link naar FireEye Research in het gedeelte ‘Onderzoekstips’ om meteen aan de slag te gaan met deze actie.

Houd de basisprincipes in gedachten

Bij het opstellen van uw incidentresponsplan kunt u verschillende modellen raadplegen. De twee modellen waarnaar het vaakst wordt verwezen, zijn die van het SANS Institute en het National Institute for Standards and Technology (NIST). Het NIST Cybersecurity Framework bundelt industrienormen en best practices in een samenhangend geheel om bedrijven te helpen bij het reageren op en herstellen van cyberincidenten, het analyseren van de onderliggende oorzaken en het doorvoeren van verbeteringen op de lange termijn. Dit is het moment om de basisprincipes in gedachten te houden en uw respons op een weloverwogen manier aan te pakken.

We zitten hier samen in

Microsoft heeft patches uitgebracht waarmee u kunt voorkomen dat er in de toekomst misbruik van deze kwetsbaarheden wordt gemaakt, en het wordt aanbevolen om deze onmiddellijk te installeren. Als het op dit moment niet mogelijk is om de patches te installeren, vindt u hieronder links naar de aanbevelingen van Microsoft om de risico’s te beperken. Alles wat minder is dan het volledig patchen van deze kwetsbaarheden, moet echter als een tijdelijke oplossing worden beschouwd. Er is een versnelde beoordeling en aanvullende evaluatie van het door de beveiligingsgemeenschap gepresenteerde onderzoek nodig om te kunnen vaststellen of u en uw organisatie al dan niet zijn getroffen.

• Datto heeft een Microsoft Exchange “ProxyLogon/Hafnium Scanner” uitgebracht, die beschikbaar is in de ComStore van Datto RMM . Deze scanner bouwt voort op het uitstekende werk van CERT-LV en Microsoft en helpt bij het opsporen van een inbreuk.
• Hieronder vindt u links naar aanvullende bronnen voor meer informatie over de zero-days, de indicatoren van compromittering (IOC's) en de nuances van deze nieuwe aanval. Hoewel dit een goed begin is, moeten we als hulpverleners niet vergeten dat we ons moeten aanpassen aan de situatie.

Kennis is macht

Microsoft en het Exchange-team werken een speciale informatiepagina over deze kwetsbaarheden en dit incident voortdurend bij. Daarnaast zijn er twee GitHub-repositories met realtime updates over nieuw geïdentificeerde IOC’s. Er circuleert een overweldigende hoeveelheid informatie over dit incident. Als je bij Microsoft begint en relevante updates en adviezen van het Cybersecurity and Infrastructure Security Agency (CISA) in de gaten houdt, ben je goed op de hoogte om deze situatie onder controle te houden.

Hieronder hebben we een lijst samengesteld met aanvullende bronnen voor MSP’s om dit incident aan te pakken. Blijf waakzaam.

• Onderzoek naar bedreigingen: opsporing van en reactie op misbruik van zero-day-kwetsbaarheden in Microsoft Exchange
• Maatregelen ter beperking van kwetsbaarheden in Microsoft Exchange Server – bijgewerkt op 9 maart 2021
• Scan Exchange-logbestanden op aanwijzingen voor inbreuken
• Beveiligingslekken in Microsoft Exchange Server beperken
• Inbreuk op de beveiliging van Microsoft Exchange Server
• Een analyse van misbruik van de Exchange en de lessen die verdedigers hieruit kunnen trekken
• Misbruik van de Microsoft Exchange-server: hoe je dit kunt opsporen, beperken en het hoofd koel kunt houden