Kaspersky recomienda actualizar Microsoft Exchange Server cuanto antes
Durante el mes de agosto, el número de usuarios atacados por exploits dirigidos a vulnerabilidades de Microsoft Exchange y bloqueados por los productos de Kaspersky creció un 170%, pasando de 7.342 a 19.839 usuarios. Según los expertos de Kaspersky, este asombroso crecimiento está relacionado con el creciente número de ataques que intentan explotar vulnerabilidades conocidas del producto, y con el hecho de que los usuarios no parchean el software vulnerable de inmediato, ampliando así la superficie potencial de ataque.
Las vulnerabilidades de Microsoft Exchange Server han provocado un gran caos este año. El 2 de marzo de 2021, se hizo pública la explotación de vulnerabilidades de día cero dentro de Microsoft Exchange Server en una ola de ataques a organizaciones de todo el mundo. Un poco más avanzado el año, Microsoft también parcheó una serie de vulnerabilidades denominadas ProxyShell: CVE-2021-34473, CVE-2021-34523 y CVE-2021-31207. En conjunto, estas vulnerabilidades representan una amenaza crítica y permiten a un actor saltarse la autenticación y ejecutar código como usuario con privilegios. A pesar de que los parches para estas vulnerabilidades se publicaron hace tiempo, los ciberdelincuentes no dudaron en explotarlas y, de hecho, en los últimos seis meses, 74.274 usuarios de Kaspersky encontraron exploits para las vulnerabilidades de MS Exchange.
Además, como advirtió el 21 de agosto la Agencia de Seguridad de la Infraestructura y la Ciberseguridad (CISA) de Estados Unidos, las vulnerabilidades de ProxyShell están siendo explotadas activamente por los ciberdelincuentes en una reciente oleada de ataques. Por su parte, Microsoft explicó el 26 de agosto que un servidor Exchange es vulnerable si no está ejecutando una actualización acumulativa (CU) con al menos la actualización de seguridad de mayo.
Según la telemetría de Kaspersky, en la última semana de agosto, más de 1.700 usuarios fueron atacados diariamente con exploits ProxyShell, lo que hace que el número de usuarios atacados en agosto de 2021 crezca un 170% respecto a julio de 2021. Esto refleja el problema a gran escala que representan estas vulnerabilidades si se dejan sin parchear.
Usuarios únicos que sufrieron ataques a MS Exchange entre marzo y agosto de 2021
«El hecho de que estas vulnerabilidades estén siendo explotadas activamente no es una sorpresa; a menudo, las vulnerabilidades que ya han sido reveladas y tienen parches publicados por los desarrolladores representan una amenaza aún mayor, ya que son conocidas por un conjunto más amplio de ciberdelincuentes que prueban suerte para penetrar en cualquier red a la que puedan atacar. Este crecimiento activo de los ataques demuestra una vez más por qué es tan esencial parchear las vulnerabilidades lo antes posible para evitar que las redes se vean comprometidas. Recomendamos encarecidamente seguir el reciente aviso de Microsoft para mitigar cualquier riesgo mayor«, comenta Evgeny Lopatin, investigador de seguridad de Kaspersky.
Los productos de Kaspersky protegen contra los exploits que aprovechan las vulnerabilidades de ProxyShell mediante componentes de Detección de Comportamiento y Prevención de Exploits y los detectan con los siguientes veredictos:
– PDM:Exploit.Win32.Generic
– HEUR:Exploit.Win32.ProxyShell.*
• HEUR:Exploit.*.CVE-2021-26855.*
Para protegerse de los ataques que explotan la vulnerabilidad mencionada, Kaspersky recomienda:
- Actualizar Exchange Server lo antes posible
- Centrar la estrategia de defensa en la detección de movimientos laterales y la exfiltración de datos a Internet. Prestar especial atención al tráfico saliente para detectar conexiones de ciberdelincuentes. Realizar copias de seguridad de los datos con regularidad y asegurarse de poder acceder rápidamente a ellos en caso de emergencia
- Utilizar soluciones como Kaspersky Endpoint Detection and Response y el servicio Kaspersky Managed Detection and Response, que ayudan a identificar y detener un ataque en las primeras etapas, antes de que los atacantes logren sus objetivos
- Utilizar una solución de seguridad de confianza para los endpoints como Kaspersky Endpoint Security for Business, que cuenta con prevención de exploits, detección de comportamientos y un motor de corrección que puede revertir las acciones maliciosas. KESB también cuenta con mecanismos de autodefensa que pueden impedir su eliminación por parte de los ciberdelincuentes,
