Miles de pequeñas y medianas empresas están sufriendo porque Rackspace ha sufrido un incidente de seguridad en su servicio Hosted Exchange.

Ayer, 2 de diciembre de 2022, Rackspace anunció una interrupción en su servidor Exchange alojado:

Actualizado seguido a lo largo del día, pero fue un poco vago:

Me involucré al final, ya que noté algo y lo documenté en este hilo:

Principalmente en el servicio administrado de Rackspace se usan los nombres de host mex*.emailsrvr.com para Exchange y OWA:

Y luego, al mirar los datos de Shodan más recientes, estaba claro que el clúster de Exchange mostraba números de compilación largos de Exchange que eran antiguos:

Este número de compilación de Exchange es de agosto de 2022, antes de que los parches de ProxyNotShell estuvieran disponibles:

Los números de compilación largos de intercambio no siempre son confiables... pero es una señal que vale la pena tener en cuenta.

Escribí sobre ProxyNotShell, una vulnerabilidad que nombré, lo siento, aquí: ProxyNotShell: la historia de los días cero reclamados en Microsoft Exchange | de Kevin Beaumont | DoblePulsar

Temprano esta mañana, Rackspace aclaró que se trata de un incidente de seguridad:

Contexto de amenaza

Ahora, es posible que la violación de Rackspace haya ocurrido debido a otros problemas, pero como recordatorio general, sugeriría algunos puntos clave sobre la amenaza:

• Las mitigaciones proporcionadas por Microsoft para ProxyNotShell son evitables. IIS Rewrite, que Microsoft usó para las mitigaciones, no decodifica todas las direcciones URL correctamente y, como tal, puede omitirse para su explotación. Si confió en la mitigación de PowerShell o en la aplicación EEMS, su Exchange Server aún es vulnerable ; Microsoft simplemente no se lo ha dicho claramente . La solución es parchear.
• Aunque la vulnerabilidad necesita autenticación, los exploits funcionan sin autenticación multifactor ya que Exchange Server aún no admite la autenticación moderna en absoluto, ya que Microsoft le quitó prioridad al trabajo de implementación (tratado en el otro blog).
• Si es un MSP que ejecuta un clúster compartido, como Hosted Exchange, significa que una cuenta comprometida en un cliente comprometerá todo el clúster alojado. Esto es de alto riesgo.

• Es muy importante que los administradores de Exchange Server obtengan la última actualización acumulativa y la actualización de seguridad para Exchange Server 2013/2016/2019.
• En el caso de Exchange Server 2013, se trata de CU23 Nov22SU, también conocido como compilación 10.0.1497.44. Puede verificar sus números de compilación desde Shodan, o los administradores de Exchange pueden usar este Powershell a continuación. Verifique dos veces .

$ExchangeServers = Get-ExchangeServer | Sort-Object Name
ForEach ($Server in $ExchangeServers) {
    Invoke-Command -ComputerName $Server.Name -ScriptBlock { Get-Command Exsetup.exe | ForEach-Object { $_.FileversionInfo } }
}

• Si usa Microsoft Defender Vulnerability Management, verifique los números de compilación en el producto en lugar de confiar en las vulnerabilidades identificadas (notará por qué).
• Si subcontrata la administración de Microsoft Exchange y tiene recursos, debe solicitar una prueba de que cada servidor está parcheado para cada actualización. Me doy cuenta de que la mayoría de las organizaciones que subcontratan no tendrán este recurso.
• Debe buscar en sus servidores de Exchange, si ha presentado OWA en Internet en particular, en busca de webshells (puertas traseras para más adelante) y signos de actividad posterior al compromiso. La forma más fácil de hacer esto es ejecutar Microsoft Safety Scanner y Sophos Scan & Clean , que son herramientas de escaneo de una sola vez, para barrer y limpiar automáticamente un sistema.

El parcheo de Exchange Server es extremadamente complicado, en algunos casos arriesgado. ¿A cuántos de nosotros, los administradores, nos han fallado los servidores? — y confuso. Microsoft necesita modernizarlo. Además, Microsoft debe implementar la autenticación moderna en Exchange Server: la autenticación básica no está bien en el año espacial 2022.

Espero ataques continuos a las organizaciones a través de Microsoft Exchange hasta 2023. Y para aquellos que dicen '¡usen Exchange Online, tontos!', todavía hay algunos desafíos en torno a eso: la autoridad federal alemana de protección de datos y 17 reguladores estatales (DSK) publicaron un informe en Microsoft 365 después de dos años de trabajo con Microsoft, y declara que Microsoft 365 aún no cumple con GDPR citando una amplia gama de problemas .

El resultado es que los clientes de MS y los ingenieros de MS se quedan en esta situación: