Microsoft pide a empresas y organizaciones que protejan cuanto antes sus servidores con Exchange

A la vista de los ataques que están sufriendo servidores de empresas de todo el mundo que utilizan Exchange, como la EBA, Microsoft está pidiendo a los equipos de TI de todo el mundo que den la máxima prioridad a la instalación de los parches de seguridad para Microsoft Exchange que la compañía lanzó el 2 de marzo para parchear las vulnerabilidades que llevaron a que decenas de miles de servidores que lo tienen instalado sufrieran un ataque de un grupo de hackers de China. Sin perder tiempo, más grupos de hackers están aprovechando estas vulnerabilidades, lo que pone a las entidades que tienen Microsoft Exchange, objetivo de sus ataques, todavía desprotegidas en más peligro. De ahí la urgencia de Microsoft en que se parcheen los servidores.

Además, las entidades que ya hayan protegido sus servidores tienen que buscar rastros que indiquen que ya han sido atacados, puesto que los hackers podrían seguir accediendo a sus sistemas a través de ellos y utilizar los sistemas como parte de un ataque en cadena que secuestre el servidor y permita ejecutar en él ejecutar comandos de manera remota.

Si se tiene en cuenta que Exchange, que ofrece email, calendario y herramientas de colaboración, es el núcleo organizador de muchas empresas de todos los tamaños, desde pymes a grandes compañías, un ataque explore estas vulnerabilidades podría ocasionar daños importantes a las organizaciones atacadas. Por ejemplo, mediante la ejecución de código de manera remota, los atacantes podrían instalar backdoors en el servidor, robar mensajes de correo electrónico con información sensible, crear nuevos usuarios en el servidor o utilizar su acceso a la red para instalar malware en otros sistemas.

La Agencia de seguridad de infraestructura y ciberseguridad (CISA) del Departamento de Seguridad Nacional de Estados Unidos ha emitido una directiva de emergencia en la que pide a las agencias federales que analicen inmediatamente los servidores que tengan con Microsoft Exchange para ver si han sito atacados y para que apliquen las actualizaciones de seguridad. Según la agencia, que también ha pedido a cualquier organización ajena al gobierno que dé prioridad a los parches de seguridad, es «consciente de actores amenazantes que emplean herramientas open source para buscar servidores vulnerables de Microsoft Exchange«.

Además de los parches, Microsoft ha publicado varios archivos para ayudar en las investigaciones para localizar actividad sospechosa en servidores con Microsoft Exchange. Entre ellos los hashes de malware y las rutas de archivos dañinos conocidos hasta ahora que se han encontrado en los ataques. También hashes de archivos de Exchange legítimos y un script para analizar el servidor de Exchange contra la lista de ficheros mencionada. Además, los de Redmond han publicado actualizaciones para servidores de Exchange más antiguos, «como medida temporal«, aunque están técnicamente fuera del ciclo de vida de software de Microsoft y no reciben normalmente ninguna actualización de seguridad. Esto puede dar una idea de la gravedad del ataque y de la situación.

Las vulnerabilidades afectan a las versiones para local de Exchange Server 2013, Server 2016 y Server 2019. Las versiones como servicio del sistema, Exchange Online y Office 365, no están afectadas, y el hecho de que haya tantas empresas afectadas indica que hay un elevado número de organizaciones que todavía prefieren la oferta en local de Exchange y no la de la nube.