In augustus vonden bijna driemaal zo veel cyberincidenten plaats via lekke Microsoft Exchange-servers als in juli. Dat meldt Kaspersky na onderzoek onder zijn gebruikers. Volgens de ict-beveiliger is de toename te wijten aan organisaties die hun servers nog niet hebben gepatcht tegen eerder bekendgemaakte kwetsbaarheden.
Het aantal gebruikers aangevallen via kwetsbaarheden in Microsoft Exchange-servers die werden geblokkeerd door Kaspersky-producten, steeg afgelopen maand met 170 procent. Wereldwijd ging het om bijna twintigduizend gebruikers. In juli bedroeg dit aantal nog iets meer dan 7.300. Experts zien de toename verklaard door de reeds bekende tekortkomingen in de software op de servers.
Authenticatie omzeilen
Microsoft waarschuwt sinds maart voor kwetsbaarheden in de Exchange-servers. In de loop van de tijd bleek dat criminelen drie aanvalstechnieken hebben om de servers op afstand over te nemen: ProxyShell, ProxyOracle en ProxyToken. Door ze te combineren, is het mogelijk om de authenticatie te omzeilen en code uit te voeren als een geautoriseerde gebruiker.
Sinds maart zijn wereldwijd bijna 75.000 Kaspersky-gebruikers gestuit op deze kwetsbaarheden in Exchange-servers. In Nederland gaat het om ruim negenhonderd gebruikers. Een server is kwetsbaar zolang er geen cumulatieve update op draait met ten minste de security update van afgelopen mei, meldde Microsoft eerder.
Snel patchen
Kaspersky-beveiligingsonderzoeker Evgeny Lopatin is niet verbaasd dat de bekende kwetsbaarheden actief worden misbruikt. ‘Vaak vormen de kwetsbaarheden die al bekend zijn gemaakt en waarvan de ontwikkelaars patches hebben uitgebracht, een grote bedreiging. Ze zijn bekend bij een breder scala aan cybercriminelen die hun geluk beproeven bij het binnendringen in netwerken. De toename van aanvallen toont wederom aan waarom het essentieel is om kwetsbaarheden snel te patchen, zodat netwerken niet worden gecompromitteerd.’
Dat veel servers nog steeds kwetsbaar zijn voor misbruik, komt wellicht doordat lokale oplossingen lastiger zijn te patchen dan in de cloud. Wim van Campen, vicepresident EMEA bij it-beveiligingsbedrijf Lookout, pleit voor uniforme policies voor databescherming, op elk systeem en platform, zowel on-premises als in de cloud. ‘Op dit moment zijn er nog veel verschillen in de wijze waarop deze verschillende omgevingen worden beveiligd (…) Laat dit voor iedereen een wake-upcall zijn.’
Discussieer mee over het al dan niet patchen van MS Exchange-servers.
