ESET descubrió más de una decena de grupos APT (en español, Amenaza Persistente Avanzada) explotando las vulnerabilidades de Microsoft Exchange con el objetivo de comprometer servidores de correo. ESET identificó más de 5000 servidores de correo repartidos por todo el mundo que afectados por este incidente, y, según fuentes públicas, varias organizaciones, como la Autoridad Bancaria Europea, sufrieron este ataque.
A principios de este mes, Microsoft lanzó un conjunto de parches para las versiones 2013, 2016 y 2019 de Exchange Server que servían para resolver una serie de vulnerabilidades que permitirían la ejecución de código remoto. Estas vulnerabilidades permitirían a los atacantes tomar el control de cualquier servidor Exchange sin necesidad de conocer las credenciales de autenticación, por lo que los servidores de Exchange conectados a internet se convirtieron en especialmente vulnerables.
Estas vulnerabilidades permitirían a los atacantes tomar el control de cualquier servidor Exchange sin necesidad de conocer las credenciales de autenticación, por lo que los servidores de Exchange conectados a internet se convirtieron en especialmente vulnerables.
“El día después de publicar los parches, comenzamos a observar a varios grupos de delincuentes escanear y comprometer de forma masiva servidores Exchange. Curiosamente, todos estos ataques estaban siendo llevados a cabo por grupos APT especializados en espionaje, excepto uno que suele realizar campañas de minería de criptomonedas. Sin embargo, es inevitable pensar que cada vez se unan a los ataques más grupos, incluyendo operadores de ransomware”, advierte Matthieu Faou, investigador de ESET que está liderando el análisis de esta cadena de vulnerabilidades contra Exchange.
Dentro de los más de diez grupos identificados, se encuentran:
- LuckyMouse: comprometió un servidor de correo en una entidad gubernamental de Oriente Medio. Habría tenido acceso al exploit al menos un día antes de la publicación de los parches por parte de Microsoft, cuando se trataba aún de un zero-day.
- Calypso: comprometió servidores de correo en entidades gubernamentales de Oriente Medio y Sudamérica. El grupo tuvo acceso al exploit como un zero-day. Posteriormente, este grupo atentó contra entidades públicas y privadas en África, Asia y Europa.
- Tick: Comprometió un servidor web de una compañía asiática de servicios tecnológicos. De igual manera que LuckyMouse o Calypso, parecer ser que este grupo tuvo acceso al exploit antes de la publicación de los parches.
