Violación de datos del servidor Microsoft Exchange en 2021

Una ola global de ciberataques y filtraciones de datos comenzó en enero de 2021 tras el descubrimiento de cuatro vulnerabilidades de día cero en servidores Microsoft Exchange locales , que otorgaban a los atacantes acceso completo a los correos electrónicos y contraseñas de los usuarios en los servidores afectados, privilegios de administrador en el servidor y acceso a los dispositivos conectados en la misma red. Los atacantes suelen instalar una puerta trasera que les permite acceder completamente a los servidores afectados, incluso si el servidor se actualiza posteriormente y deja de ser vulnerable a las vulnerabilidades originales. A fecha de 9 de marzo de 2021  Se estimó que 250.000 servidores fueron víctimas de los ataques, incluyendo servidores pertenecientes a alrededor de 30.000 organizaciones en los Estados Unidos, 7.000 servidores en el Reino Unido, ^{[ 8 ]} así como la Autoridad Bancaria Europea , el Parlamento Noruego y la Comisión para el Mercado Financiero (CMF) de Chile. ^{[ 9 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ]}

El 2 de marzo de 2021, Microsoft publicó actualizaciones para Microsoft Exchange Server 2010, 2013, 2016 y 2019 para corregir la vulnerabilidad; esto no revierte el daño ni elimina las puertas traseras instaladas por los atacantes. Se sabe que las pequeñas y medianas empresas, las instituciones locales y los gobiernos locales son las principales víctimas del ataque, ya que suelen tener presupuestos más reducidos para protegerse contra las ciberamenazas y, por lo general, subcontratan los servicios de TI a proveedores locales que no cuentan con la experiencia necesaria para hacer frente a los ciberataques. ^{[ 15 ]}

El 12 de marzo de 2021, Microsoft anunció el descubrimiento de una nueva familia de ransomware que se estaba implementando en servidores infectados inicialmente, cifrando todos los archivos, dejando el servidor inoperable y exigiendo un pago para revertir el daño. ^{[ 16 ]} El 22 de marzo de 2021, Microsoft anunció que en el 92 % de los servidores Exchange la vulnerabilidad había sido parcheada o mitigada. ^{[ 17 ]}

Microsoft Exchange es un software de servidor de correo electrónico ampliamente utilizado y un objetivo frecuente de ciberataques a redes empresariales. Según Microsoft, su entorno permite a los atacantes hacer un uso indebido de las herramientas administrativas o scripts integrados con fines maliciosos. ^{[ 18 ]} Microsoft Exchange ha sido objetivo de ataques de actores estatales . ^{[ 19 ] [ 20 ]}

El 5 de enero de 2021, la empresa de pruebas de seguridad DEVCORE informó de la vulnerabilidad a Microsoft, que la confirmó el 8 de enero. ^{[ 21 ]} El 6 de enero de 2021, la empresa de ciberseguridad Volexity detectó la primera brecha conocida en una instancia de Microsoft Exchange Server. ^{[ 1 ]} A finales de enero, Volexity detectó una brecha que permitió a los atacantes acceder a datos de dos de sus clientes e informó de la vulnerabilidad a Microsoft. Tras la notificación de la brecha por parte de Microsoft, Volexity informó de que los hackers actuaron con menos discreción en previsión de un parche . ^{[ 22 ]}

El 2 de marzo de 2021, la empresa de ciberseguridad ESET informó haber observado a varios actores maliciosos, además de Hafnium , explotando las vulnerabilidades. ^{[ 4 ]} El 10 de marzo de 2021, Wired informó que, tras la aplicación del parche, era probable que otros actores maliciosos aplicaran ingeniería inversa a la solución para atacar servidores sin parchear. Analistas de dos empresas de seguridad informaron haber observado indicios de que los atacantes se estaban preparando para implementar software de criptominería en los servidores afectados. ^{[ 23 ]}

El 10 de marzo de 2021, el investigador de seguridad Nguyen Jang publicó en GitHub, propiedad de Microsoft, un código de prueba de concepto que demostraba el funcionamiento del exploit. El código constaba de 169 líneas. El programa se escribió intencionadamente con errores, lo que permitía a los investigadores de seguridad comprender el exploit y, al mismo tiempo, impedía que actores maliciosos utilizaran el código para acceder a servidores. Ese mismo día, GitHub eliminó el código, indicando que «contiene código de prueba de concepto para una vulnerabilidad recientemente revelada que está siendo explotada activamente». ^{[ 24 ] [ 25 ]} El 13 de marzo, otro grupo publicó de forma independiente un código de exploit que requería una modificación mínima para funcionar. Will Dormann, del Centro de Coordinación CERT, afirmó que «el exploit ya está completamente al descubierto». ^{[ 26 ]}

Los ataques se produjeron poco después de la filtración de datos del gobierno federal de Estados Unidos en 2020 , que también implicó la vulneración de la aplicación web Outlook de Microsoft y su cadena de suministro . Microsoft declaró que no existía conexión entre ambos incidentes. ^{[ 27 ]}

Microsoft dijo que el ataque fue perpetrado inicialmente por Hafnium , un grupo de hackers patrocinado por el estado chino ( amenaza persistente avanzada ) que opera desde China. ^{[ 5 ] [ 22 ] [ 6 ] [ 26 ]} Se sabe que Hafnium instala el shell web China Chopper . ^{[ 26 ]} Microsoft identificó a Hafnium como "un actor altamente capacitado y sofisticado" que históricamente ha atacado principalmente a "entidades en los Estados Unidos con el propósito de exfiltrar información de varios sectores de la industria, incluidos investigadores de enfermedades infecciosas, bufetes de abogados, instituciones de educación superior, contratistas de defensa, grupos de expertos en políticas y ONG". ^{[ 28 ]} Al anunciar el hackeo, Microsoft declaró que esta era "la octava vez en los últimos 12 meses que Microsoft ha revelado públicamente grupos de estados nación que atacan instituciones críticas para la sociedad civil". ^{[ 28 ]} A partir del 12 de marzo de 2021, había, además de Hafnium, al menos otros nueve grupos distintos que explotaban las vulnerabilidades, cada uno con diferentes estilos y procedimientos. ^{[ 7 ] [ 29 ]}

El gobierno chino negó su participación, calificando las acusaciones de "infundadas". ^{[ 22 ] [ 30 ]}

En una declaración conjunta del 19 de julio de 2021, EE. UU. , Reino Unido , UE , OTAN y otras naciones occidentales acusaron al Ministerio de Seguridad del Estado (MSS) de perpetrar la brecha de Exchange, junto con otros ciberataques, "atribuyendo con un alto grado de confianza que ciberactores maliciosos afiliados al MSS de la República Popular China llevaron a cabo operaciones de ciberespionaje utilizando las vulnerabilidades de día cero en Microsoft Exchange Server reveladas a principios de marzo de 2021". ^{[ 31 ] [ 32 ] [ 33 ] [ 34 ]}

Los hackers aprovecharon cuatro vulnerabilidades de día cero distintas para comprometer Outlook Web Access (OWA) de los servidores de Microsoft Exchange, ^{[ 2 ]} obteniendo acceso a los servidores y redes completas de las víctimas, así como a correos electrónicos e invitaciones de calendario, ^{[ 4 ]} requiriendo inicialmente solo la dirección del servidor, que puede ser atacada directamente u obtenida mediante escaneo masivo de servidores vulnerables; el atacante luego usa dos exploits, el primero le permite conectarse al servidor y autenticarse falsamente como un usuario estándar. Con eso, se puede explotar una segunda vulnerabilidad, elevando el acceso de ese usuario a privilegios de administrador . ^{[ 35 ] [ 36 ]} Los dos exploits finales permiten a los atacantes cargar código en el servidor en cualquier ubicación que deseen, ^{[ 36 ]} que se ejecuta automáticamente con estos privilegios de administrador. Luego, los atacantes suelen usar esto para instalar un web shell , proporcionando una puerta trasera al servidor comprometido, ^{[ 37 ]} lo que les da a los hackers acceso continuo al servidor mientras el web shell permanezca activo y el servidor Exchange permanezca encendido. ^{[ 29 ]}

Mediante la interfaz web instalada por los atacantes, se pueden ejecutar comandos de forma remota. Entre las acciones observadas se encuentran la descarga de todos los correos electrónicos de los servidores, la descarga de las contraseñas y direcciones de correo electrónico de los usuarios (ya que Microsoft Exchange las almacena sin cifrar en la memoria) , la adición de usuarios, la adición de puertas traseras adicionales a los sistemas afectados, el acceso a otros sistemas de la red que no son susceptibles a la vulnerabilidad original y la instalación de ransomware . ^{[ 38 ]} Dado que la aplicación de parches al servidor Exchange contra la vulnerabilidad no elimina retroactivamente las puertas traseras instaladas, los atacantes continúan teniendo acceso al servidor hasta que se eliminen la interfaz web, otras puertas traseras y las cuentas de usuario añadidas por los atacantes. ^{[ 39 ]}

El 27 y 28 de febrero de 2021, hubo un ataque automatizado, y el 2 y 3 de marzo de 2021, los atacantes usaron un script para regresar a las direcciones y dejar un web shell que les permitiera regresar más tarde. ^{[ 29 ]} Refiriéndose a la semana que terminó el 7 de marzo, el cofundador de CrowdStrike , Dmitri Alperovitch, declaró: "Toda víctima posible que no había aplicado el parche a mediados o finales de la semana pasada ya ha sido atacada por al menos uno o varios actores". ^{[ 40 ]} Después de que se anunció el parche, las tácticas cambiaron al usar la misma cadena de vulnerabilidades. ^{[ 29 ] [ 41 ]}

Se confirmó que las versiones 2010, 2013, 2016 y 2019 de Microsoft Exchange Server eran susceptibles, aunque aún no se han determinado completamente las ediciones vulnerables. ^{[ 42 ]} Los servicios basados ​​en la nube Exchange Online y Office 365 no se ven afectados. ^{[ 43 ]}

Los hackers han explotado las vulnerabilidades para espiar a una amplia gama de objetivos, afectando a unos 250.000 servidores. ^{[ 11 ] [ 44 ]} Tom Burt, vicepresidente de Seguridad y Confianza del Cliente de Microsoft, escribió que entre los objetivos se encontraban investigadores de enfermedades, bufetes de abogados, universidades, contratistas de defensa, organizaciones no gubernamentales y centros de investigación . ^{[ 28 ] [ 9 ] [ 45 ]}

Las actualizaciones automáticas suelen ser deshabilitadas por los administradores de servidores para evitar interrupciones por tiempo de inactividad y problemas en el software, ^{[ 46 ]} y por convención son instaladas manualmente por los administradores de servidores después de que estas actualizaciones se prueban con el software y la configuración del servidor existentes; ^{[ 47 ]} dado que las organizaciones más pequeñas a menudo operan con un presupuesto menor para hacerlo internamente o de otro modo subcontratan esto a proveedores de TI locales sin experiencia en ciberseguridad, esto a menudo no se hace hasta que se convierte en una necesidad, si es que alguna vez. Esto significa que las pequeñas y medianas empresas, y las instituciones locales como escuelas y gobiernos locales son conocidas como las principales víctimas del ataque, ya que es más probable que no hayan recibido actualizaciones para corregir la vulnerabilidad. Se señala que las víctimas rurales están "en gran medida solas", ya que generalmente no tienen acceso a proveedores de servicios de TI. ^{[ 15 ]} El 11 de marzo de 2021, Check Point Research reveló que en las 24 horas anteriores "el número de intentos de explotación en las organizaciones que monitorea se triplicó cada dos o tres horas". ^{[ 48 ] [ 49 ]}

Check Point Research ha observado que Estados Unidos es el país más atacado con el 17% de todos los intentos de explotación, seguido de Alemania con el 6%, el Reino Unido y los Países Bajos ambos con el 5%, y Rusia con el 4% de todos los exploits; el sector gubernamental / militar es el más atacado con el 23% de los intentos de explotación, seguido de la manufactura con el 15%, la banca y los servicios financieros con el 14%, los proveedores de software con el 7% y la atención médica con el 6%. ^{[ 26 ] [ 50 ]}

El ataque se descubrió después de que se descubriera que los atacantes descargaban todos los correos electrónicos pertenecientes a usuarios específicos en servidores Exchange corporativos separados. ^{[ 38 ]} Un grupo de expertos de Washington, cuya identidad no se reveló , informó que los atacantes enviaron correos electrónicos convincentes a contactos en un ataque de ingeniería social que incitaba a los destinatarios a hacer clic en un enlace. ^{[ 45 ]} El 11 de marzo de 2021, el parlamento de Noruega, el Storting , informó haber sido víctima del ataque, declarando que "se han extraído datos". ^{[ 51 ]}

La Autoridad Bancaria Europea también informó que había sido blanco del ataque, ^{[ 10 ]} y posteriormente declaró en un comunicado de prensa que el alcance del impacto en sus sistemas era "limitado" y que "la confidencialidad de los sistemas y datos de la EBA no se ha visto comprometida". ^{[ 52 ]}

La empresa de seguridad ESET identificó "al menos 10" grupos de amenazas persistentes avanzadas que comprometen empresas de TI, ciberseguridad, energía, desarrollo de software, servicios públicos , bienes raíces, telecomunicaciones e ingeniería, así como agencias gubernamentales de Oriente Medio y Sudamérica. Se identificó un grupo APT que desplegaba descargadores de PowerShell y utilizaba servidores afectados para la minería de criptomonedas. ^{[ 7 ]} El director ejecutivo de Cybereason, Lior Div, señaló que el grupo APT Hafnium "atacó a pequeñas y medianas empresas... El ataque contra Microsoft Exchange es 1000 veces más devastador que el ataque a SolarWinds ". ^{[ 53 ]}

El 12 de marzo de 2021, Microsoft Security Intelligence anunció que una nueva familia de ransomware llamada DearCry se estaba implementando en los servidores que habían sido infectados inicialmente, cifrando el contenido de los dispositivos, dejando los servidores inutilizables y exigiendo un pago para recuperar los archivos. ^{[ 16 ]} Microsoft declaró: «No hay garantía de que pagar el rescate le dé acceso a sus archivos». ^{[ 54 ]}

El 18 de marzo de 2021, una filial del grupo cibernético de ransomware REvil afirmó haber robado datos sin cifrar de la corporación taiwanesa de hardware y electrónica Acer , incluyendo un número indeterminado de dispositivos cifrados. La empresa de ciberseguridad Advanced Intel vinculó esta filtración de datos y el ataque de ransomware con las vulnerabilidades de Microsoft Exchange. Advanced Intel detectó que uno de los servidores Microsoft Exchange de Acer fue atacado por primera vez el 5 de marzo de 2021. REvil exigió un rescate de 50 millones de dólares estadounidenses , afirmando que, de pagarse, proporcionarían un descifrador, un informe de vulnerabilidades y la eliminación de los archivos robados, y advirtiendo que el rescate se duplicaría a 100 millones de dólares estadounidenses si no se pagaba antes del 28 de marzo de 2021. ^{[ 55 ]}

El 2 de marzo de 2021, el Centro de Respuesta de Seguridad de Microsoft (MSRC) publicó públicamente una versión fuera de banda de Vulnerabilidades y Exposiciones Comunes (CVE), instando a sus clientes a parchear sus servidores Exchange para abordar una serie de vulnerabilidades críticas . ^{[ 3 ]} El 15 de marzo, Microsoft lanzó una herramienta de PowerShell de un solo clic , la Herramienta de mitigación de Exchange local, que instala las actualizaciones específicas que protegen contra la amenaza, ejecuta un análisis de malware que también detecta web shells instalados y elimina las amenazas que se detectaron; esto se recomienda como una medida de mitigación temporal, ya que no instala otras actualizaciones disponibles. ^{[ 56 ]}

El 3 de marzo de 2021, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) emitió una directiva de emergencia que obligaba a las redes gubernamentales a actualizarse a una versión parcheada de Exchange. El 8 de marzo, CISA tuiteó lo que NBC News describió como un "mensaje inusualmente sincero" instando a "TODAS las organizaciones de TODOS los sectores" a abordar las vulnerabilidades. ^{[ 57 ] [ 58 ]}

Otros organismos oficiales que expresaron su preocupación fueron la Casa Blanca , la Autoridad de Seguridad Nacional de Noruega y la Oficina de Ciberseguridad y Seguridad de la Información de la República Checa. ^{[ 59 ] [ 60 ]} El 7 de marzo de 2021, CNN informó que se esperaba que la administración Biden formara un grupo de trabajo para abordar la brecha; ^{[ 61 ]} la administración Biden ha invitado a organizaciones del sector privado a participar en el grupo de trabajo y les proporcionará información clasificada según lo considere necesario. El asesor de seguridad nacional de EE. UU., Jake Sullivan, declaró que EE. UU. aún no está en condiciones de atribuir la culpa de los ataques. ^{[ 48 ]}

En julio de 2021, la administración Biden, junto con una coalición de aliados occidentales, culpó formalmente a China del ciberataque. La administración destacó la amenaza constante de los hackers chinos, pero no acompañó la condena con ningún tipo de sanción. Según la secretaria de prensa de la Casa Blanca, Jen Psaki , la administración no descarta futuras consecuencias para China. ^{[ 62 ]}