Инструмент Microsoft выпуска, который поможет вам увидеть, был ли ваш сервер Exchange скомпрометирован Hafnium

Ряд недостатков в автономных установках сервера Microsoft Exchange привел к тому, что несколько сотен тысяч установок Exchange Server были скомпрометированы китайской хакерской группой Hafnium.

Кребс об отчетах о безопасности что значительное количество малых предприятий, поселков, городов и местных органов власти были заражены, а хакеры оставили веб-оболочку для дальнейшего управления и контроля.

Сегодня корпорация Майкрософт выпустила новые инструменты и рекомендации, которые помогут администраторам серверов обнаруживать угрозы и устранять их.

Microsoft выпустила обновление для своего бесплатного сервера Exchange Индикаторы компрометации который можно использовать для сканирования файлов журнала сервера Exchange, чтобы определить, не скомпрометированы ли они.

Microsoft также выпустил аварийное альтернативное руководство по смягчению последствий для администраторов, которые не могут применить внеплановые обновления Microsoft уже выпустила 2 марта. Однако применение исправлений остается наиболее эффективной профилактикой, хотя, если ваш сервер заражен, полное исправление будет гораздо более сложной задачей.

«На данный момент мы работали над десятками случаев, когда веб-оболочки устанавливались на систему-жертву еще 28 февраля [до того, как Microsoft объявила о своих исправлениях], вплоть до сегодняшнего дня», — сказал президент Volexity Стивен Адэр, обнаруживший уязвимость. атака . «Даже если вы установили патч в тот же день, когда Microsoft опубликовала свои патчи, велика вероятность того, что на вашем сервере есть веб-шелл. Правда в том, что если вы используете Exchange и еще не исправили это, очень высока вероятность того, что ваша организация уже скомпрометирована».

«Лучшая защита — как можно скорее применять обновления для всех затронутых систем», — говорится в письменном заявлении представителя Microsoft. «Мы продолжаем помогать клиентам, предоставляя дополнительные рекомендации по расследованию и смягчению последствий. Затронутые клиенты должны обратиться в нашу службу поддержки за дополнительной помощью и ресурсами».

с помощью ЛоматьЗащита