Flagello · 2 marzo 2021

Il flagello di ProxyLogon

Cronaca

Il 2 marzo 2021 Microsoft pubblicò patch d'emergenza per quattro vulnerabilità zero-day di Exchange Server, che il gruppo HAFNIUM, basato in Cina, stava usando per installare web shell sui server di posta. Appena le patch uscirono, molti altri gruppi si gettarono sulla preda, e decine di migliaia di server Exchange in sede furono compromessi in tutto il mondo. Ad aprile l'FBI rimosse, su ordine di un tribunale, le web shell rimaste su centinaia di server statunitensi.

Lezione appresa

Mostrò che tra una patch d'emergenza e lo sfruttamento di massa possono passare ore, e che un server di posta in sede è un bersaglio di prima scelta.

Preghiera di riparazione

O Exchange, che scambiavi posta e anche web shell, accorcia le nostre finestre di manutenzione e allunga la pazienza degli amministratori. Amen.

Come si ricorda

Si ricorda installando le patch d'emergenza il giorno stesso, cercando web shell anche dopo aver aggiornato e chiedendosi se il server di posta debba davvero stare in sala macchine.