Quatre failles… pour des centaines de milliers de victimes. C’est sur ces chiffres que s’arrête le bilan provisoire d’une attaque révélée la semaine dernière. Sa cible : des serveurs Exchange locaux.
Il semble plutôt falloir parler de plusieurs attaques. Même si Microsoft s’attarde sur Hafnium, groupe cybercriminel dit à la solde de l’État chinois.
Les quatre failles fonctionnent en combinaison. L’une permet de contourner l’authentification en envoyant, via Outlook Web Access, des requêtes HTTP arbitraires vers des ressources statiques. Le chercheur qui l’a découverte lui a donné le nom de ProxyLogon.
ProxyLogon permet d’accéder à des boîtes mail, parfois en connaissant simplement l’adresse des victimes. Elle ouvre la voie à l’exploitation des trois autres failles qui permettent d’exécuter du code à distance. Dans la pratique, elles ont entraîné l’injection de webshells.
Les correctifs – pour Exchange Server 2013, 2016 et 2019 – sont disponibles depuis mardi dernier. Depuis lors, les attaques semblent s’être intensifiées. Et avoir franchi un degré d’automatisation. On ne semble effectivement pas au même niveau de ciblage que dans l’affaire SolarWinds. Le nombre de victimes (30 000 estimées aux États-Unis) en témoigne. Sur place, la CISA, homologue de notre ANSSI, a publié une alerte et des directives. La Maison Blanche les a relayées.
Pour ceux qui ne peuvent appliquer immédiatement les correctifs, il existe des méthodes d’atténuation. Elles consistent, en fonction des failles, à mettre en place une règle IIS, à couper le service de messagerie unifiée ou encore à désactiver le pool d’applications OAB.
La première alerte est venue de Volexity. Les premières attaques que l’éditeur américain dit avoir identifiées remontent au 6 janvier. La veille, le chercheur ayant découvert ProxyLogon avait communiqué ses trouvailles à Microsoft.
Illustration principale © Rawpixel.com – stock.adobe.com
Pour développer une version 7B de son modèle Codestral, Mistral AI n'a pas utilisé de…
L’Autorité de la concurrence et des marchés (CMA) britannique ouvre une enquête sur les conditions…
Thomas Gourand est nommé Directeur Général pour la France. Il est chargé du développement de…
Pour dissuader le CISPE d'un accord avec Microsoft, Google aurait mis près de 500 M€…
Pour réduire la taille des mises à jour de Windows, Microsoft va mettre en place…
De l'organisation administrative à la construction budgétaire, la Cour des comptes pointe le fonctionnement complexe…