Ferramenta de lançamento da Microsoft para ajudá-lo a ver se seu servidor Exchange foi comprometido pelo Hafnium

Uma série de falhas em instalações autônomas do servidor Microsoft Exchange fez com que várias centenas de milhares de instalações do Exchange Server fossem comprometidas pelo grupo de hackers chinês Hafnium.

Krebs em relatórios de segurança que um número significativo de pequenas empresas, vilas, cidades e governos locais foram infectados, com os hackers deixando para trás um shell da web para mais comando e controle.

Hoje, a Microsoft lançou novas ferramentas e orientações para ajudar os administradores de servidor a detectar e mitigar a ameaça.

Microsoft lançou uma atualização para seu servidor Exchange gratuito Ferramenta Indicadores de Compromisso que pode ser usado para verificar arquivos de log do servidor Exchange para identificar se eles estão comprometidos.

Microsoft também liberado orientação de mitigação alternativa de emergência para administradores que não podem aplicar o atualizações fora de banda que a Microsoft já lançou em 2 de março. A aplicação dos patches continua sendo a prevenção mais eficaz, no entanto, se o seu servidor estiver infectado, a correção completa será um trabalho muito maior.

“Trabalhamos em dezenas de casos até agora em que web shells foram colocados no sistema da vítima em 28 de fevereiro [antes da Microsoft anunciar seus patches], até hoje”, disse o presidente da Volexity, Steven Adair, que descobriu o ataque. “Mesmo que você tenha corrigido no mesmo dia em que a Microsoft publicou seus patches, ainda há uma grande chance de haver um web shell em seu servidor. A verdade é que, se você estiver executando o Exchange e ainda não corrigiu isso, há uma chance muito grande de que sua organização já esteja comprometida.”

“A melhor proteção é aplicar atualizações o mais rápido possível em todos os sistemas afetados”, disse um porta-voz da Microsoft em um comunicado por escrito. “Continuamos a ajudar os clientes fornecendo orientações adicionais de investigação e mitigação. Os clientes afetados devem entrar em contato com nossas equipes de suporte para obter ajuda e recursos adicionais.”

via Quebrando a Defesa