"Interessante" novità sul mail server Microsoft

Due giorni fa la "Cybersecurity & Infrastructure Security Agency" degli Stati Uniti ha emesso un alert urgente perché sono state rilevate attività di attacco che sfruttano vulnerabilità zero-day del mail server Microsoft.

Ho pensato di scrivere due note su questa faccenda perché si collega molto bene a vari temi trattati nel corso "Cybersecurity 101" che ho concluso pochi giorni fa.

Questa breve frase, che ho suddiviso in lista per chiarezza, dice più o meno tutto sull'attacco. 

• Cybersecurity and Infrastructure Security (CISA) partners have observed active exploitation of vulnerabilities in Microsoft Exchange Server products.
• Successful exploitation of these vulnerabilities allows an unauthenticated attacker to execute arbitrary code on vulnerable Exchange Servers, enabling the attacker to gain persistent system access, as well as access to files and mailboxes on the server and to credentials stored on that system.
• Successful exploitation may additionally enable the attacker to compromise trust and identity in a vulnerable network.
• Microsoft released out-of-band patches to address vulnerabilities in Microsoft Exchange Server.

Altra cosa importantissima, aggiunta notate bene il giorno successivo alla pubblicazione dell'alert:

• CISA is aware of threat actors using open source tools to search for vulnerable Microsoft Exchange Servers. This particular type of attack is scriptable, allowing attackers to easily exploit vulnerabilities through automated mechanisms. CISA advises all entities to patch as soon as possible to avoid being compromised.  

Qualche considerazione di collegamento con il corso:

• Questi attacchi non potevano essere prevenuti perché sfruttano vulnerabilità cosiddette zero-day, cioè sconosciute a Microsoft. Sono stati rilevati dopo che sono stati eseguiti ed erano ancora operanti.
• Tema del corso: non insistere (solo) sulla prevention ma investire in detection.
• Il solo modo per difendersi da questo grave problema consiste nell'applicare i patch al software del mail server appena rilasciati da Microsoft. 
• Tema del corso: la sicurezza di una organizzazione non si può gestire con l'approccio "metto a posto tutto e poi mi dimentico della sicurezza". Anche se una organizzazione avesse risolto tutti i propri problemi due settimane fa, ecco un nuovo grave problema da gestire; certamente tra un mese o anche meno ce ne saranno altri.
• Gli attaccanti remoti possono eseguire codice a loro piacimento anche senza essere autenticati.
• Tema del corso: se un dispositivo collegato a Internet ha una vulnerabilità, l'attaccante la conosce, sa come sfruttarla, è sufficientemente motivato, allora l'attaccante può prendere il controllo del dispositivo. Quindi prima di collegare un dispositivo ad Internet occorre pensarci molto bene. Purtroppo qui la situazione è la peggiore possibile perché un mail server deve necessariamente essere accessibile da Internet. Non bisogna pensare "posso stare tranquillo perché il dispositivo è protetto da password", perché questo ragionamento ha senso solo se il dispositivo non ha nessuna vulnerabilità "pre-auth". 
• Le organizzazioni con un mail server Microsoft accessibile su Internet adesso potrebbero avere un attaccante con "persistent access" su qualche nodo interno (secondo punto della lista; gran parte dell'alert è focalizzato proprio su questo aspetto).
• Tema del corso: difendere una organizzazione assumendo un threat model "network attacker", cioè attaccante che può manipolare il traffico di rete ma non può espugnare nessun nodo, significa essere enormemente ottimisti. Il solo threat model realistico oggi è il cosiddetto "assume breach", cioè partire dal presupposto che su qualche nodo interno è presente un attaccante. Il che ha enormi implicazioni, ad esempio per le modalità di amministrazione remota (quali credenziali si usano per fare amministrazione remota di workstation?) e per la gestione dei diritti di accesso (siamo certi che ogni utente abbia solo i diritti che gli sono strettamente necessari?).
• Gli attacchi rilevati nei giorni precedenti sono stati attribuiti a gruppi associati a stati, quindi attacchi mirati e motivati dall'accesso ad informazioni (APT: Advanced Persistent Threat). Adesso che è nota l'esistenza di vulnerabilità così gravi, i gruppi criminali cercheranno di sviluppare exploit per queste vulnerabilità ed utilizzarli per attacchi non mirati con motivazioni  finanziarie (vedi la raccomandazione aggiunta il giorno successivo alla pubblicazione dell'alert, cioè ieri).
• Tema del corso: applicare i patch ed applicarli rapidamente. Il rischio infatti si amplifica non appena la vulnerabilità viene resa pubblica.
• Tema del corso: il ragionamento "ma chi vuoi che sia interessato ad attaccare proprio me???" non ha nessun senso. E' molto raro l'attacco in cui si sceglie il bersaglio e poi si cerca di capire cosa fare, ma è molto più frequente il contrario: si sceglie l'attacco e poi si cercano i bersagli. Esattamente ciò che sta accadendo adesso: "CISA is aware of threat actors using open source tools to search for vulnerable Microsoft Exchange Servers".  Quando l'attacco è automatizzabile allora può essere effettuato su larga scala, il che è proprio questo caso: "This particular type of attack is scriptable, allowing attackers to easily exploit vulnerabilities through automated mechanisms".
• Tema del corso: il meccanismo di difesa di gran lunga più importante ed efficace è applicare i patch ("CISA advises all entities to patch as soon as possible to avoid being compromised"). Niente di particolarmente sorprendente o tecnicamente affascinante.

A proposito dell'ultimo punto, trovare un bersaglio potenziale è facilissimo: basta cercare su shodan i mail server Microsoft accessibili su Internet (esistono già delle query predisposte...non metto il link ma sono su shodan): è molto probabile che una percentuale elevatissima di questi non abbia ancora applicato i patch Microsoft.

Io sono andato a cercare quelli che si trovano in Italia e quelli che si trovano a Trieste. Purtroppo lo può fare chiunque.