Microsoft ha rilevato un gruppo di hacker “sponsorizzato” dalla Cina noto come Hafnium che utilizza questi attacchi contro le organizzazioni statunitensi per rubare dati.
“Storicamente, Hafnium prende di mira principalmente entità negli Stati Uniti allo scopo di esfiltrare informazioni da un certo numero di settori industriali, inclusi ricercatori in malattie infettive, studi legali, istituti di istruzione superiore, appaltatori della difesa, gruppi di esperti politici e ONG“.
“Sebbene Hafnium abbia sede in Cina, svolge le sue operazioni principalmente da server privati virtuali (VPS) in leasing negli Stati Uniti“, ha rivelato oggi Microsoft in un post sul blog.
Dopo aver ottenuto l’accesso a un server Microsoft Exchange vulnerabile, Hafnium installa una shell web che consente loro di rubare dati, caricare file ed eseguire quasi tutti i comandi sul sistema compromesso.
Hafnium eseguirà un dump della memoria dell’eseguibile LSASS.exe per raccogliere le credenziali memorizzate nella cache utilizzando questa shell web.
Quindi espongono le cassette postali rubando i dati dal server Exchange caricandoli su servizi di condivisione file, come MEGA, dove poterli recuperare in seguito.
Infine, Hafnium crea una shell remota sui propri server per accedere alla macchina e alla sua rete interna.
A causa della gravità degli attacchi, Microsoft consiglia agli amministratori di “installare immediatamente questi aggiornamenti” per proteggere i server Exchange da questi attacchi.
Kevin Beaumont, analista senior di Microsoft Threat Intelligence, ha creato uno script Nmap che può essere utilizzato per eseguire la scansione di una rete alla ricerca di server Microsoft Exchange potenzialmente vulnerabili.
Per utilizzare lo script, una volta scaricato dalla sua pagina GitHub e salvato nella cartella scripts di nmap, quindi utilizza il comando nmap –script http-vuln-exchange.
