Serverul Exchange al companiei a fost compromis? Ce trebuie să faceți

Dacă serverul Exchange al companiei a fost compromis, izolați-l de internet, verificați-l cu instrumentele Microsoft, instalați toate actualizările de securitate, restaurați-l dintr-un backup curat sau reconstruiți-l și schimbați parolele conturilor. Dacă rulează Exchange Server 2016 sau 2019, care nu mai au suport din 14 octombrie 2025, planificați și mutarea e-mailului pe o versiune cu suport.

Articolul a pornit, în martie 2021, de la cel mai mare atac de până atunci asupra serverelor Exchange. Lecțiile lui sunt valabile și azi, așa că l-am actualizat cu pașii de urmat acum.

Ce pași urmați dacă serverul Exchange a fost compromis?

1. Izolați serverul. Scoateți-l de pe internet (Outlook pe web și panoul de administrare), dar nu-l ștergeți: păstrați jurnalele și o copie a discurilor, ca să puteți afla ce s-a întâmplat.
2. Verificați-l. Microsoft publică gratuit, în depozitul CSS-Exchange de pe GitHub, scripturi de verificare pentru serverele Exchange. Căutați fișiere necunoscute în folderele site-ului web (web shell-uri), conturi noi de administrator, reguli de redirecționare a e-mailurilor și sarcini programate pe care nu le-ați creat.
3. Instalați toate actualizările de securitate, pe o versiune de Exchange care încă are suport.
4. Restaurați sau reconstruiți. Cea mai sigură cale este restaurarea dintr-un backup anterior atacului sau reinstalarea serverului de la zero, cu mutarea cutiilor poștale.
5. Schimbați parolele: ale administratorilor, ale conturilor de serviciu și ale utilizatorilor, pentru că atacatorii pot să le fi copiat.
6. Raportați incidentul. Dacă firma intră sub NIS2 (OUG 155/2024), un incident semnificativ se raportează la DNSC: directiva cere o avertizare timpurie în 24 de ore. Dacă au fost afectate date personale, GDPR cere, de regulă, notificarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal în 72 de ore.

Din punct de vedere operațional, se poate anunța o fereastră de mentenanță, iar modificările se pot face în afara orelor de program, ca impactul asupra activității să fie cât mai mic.

Ce s-a întâmplat în martie 2021?

În martie 2021, potrivit KrebsOnSecurity, peste 30.000 de organizații din Statele Unite fuseseră compromise de un grup de atacatori chinezi, pe care Microsoft l-a numit HAFNIUM. Aceștia au folosit patru vulnerabilități din Exchange Server ca să intercepteze și să fure corespondența electronică a victimelor.

Deși Microsoft lansase pe 2 martie actualizările care remediau cele patru vulnerabilități, atacurile nu s-au oprit: au continuat pe serverele care nu fuseseră încă actualizate.

Pe fiecare server compromis, atacatorii lăsau în urmă un web shell, o pagină de autentificare cu utilizator și parolă pe care o puteau folosi ușor, direct din browser, ca să păstreze accesul la corespondența victimelor.

Ca să scadă șansele ca serverele să fie compromise, Microsoft recomanda instalarea actualizărilor imediat ce apar și oferea asistență tehnică suplimentară companiilor deja atacate.

Actualizările din 2 martie remediau vulnerabilitățile, dar pe serverele deja compromise nu schimbau nimic: nu puteau întrerupe accesul atacatorilor.

Microsoft a pus la dispoziția companiilor și scripturi gratuite, în același depozit CSS-Exchange: primul verifica dacă serverul era vulnerabil, iar cele publicate în zilele următoare căutau și urmele atacului.

Pentru că era vorba de vulnerabilități din produsul Microsoft, atacurile nu puteau fi oprite fără actualizările Microsoft. Cea mai simplă metodă de remediere era restaurarea unui backup anterior atacului și scoaterea serverului de pe internet până la instalarea celor patru actualizări de securitate.

Ce trebuie să reținem din această întreagă poveste?

Backupul este sfânt. Este crucial să existe o politică solidă de backup, care să permită restaurarea întregului server cât mai repede.

La fel de important este ca IT-ul să fie la curent cu știrile de securitate și să instaleze actualizările cât mai repede după apariția lor. Martie 2021 nu a fost un caz izolat: în 2021 au urmat vulnerabilitățile ProxyShell, iar în 2022 ProxyNotShell, exploatate tot pe serverele Exchange expuse pe internet și neactualizate.

Un plan scris dinainte scurtează mult reacția la un atac: vedeți ce trebuie să cuprindă planul de răspuns la un atac cibernetic sau la un incident de securitate.

Ce faceți acum dacă firma are încă Exchange Server?

Dacă firma folosește încă Exchange Server 2016 sau 2019, mutați e-mailul pe o versiune cu suport: de la 14 octombrie 2025, fiecare vulnerabilitate nouă găsită în ele poate rămâne deschisă.

• Exchange Online, din Microsoft 365, mută grija serverului la Microsoft. Vedeți cum integrați Microsoft 365 în afacerea dumneavoastră.
• Exchange Server Subscription Edition, pe abonament, este succesorul pentru firmele care trebuie să păstreze e-mailul pe un server propriu.
• Nu expuneți direct pe internet panoul de administrare și, pe cât posibil, nici Outlook pe web: accesul din afară se face prin VPN sau printr-un sistem care cere autentificarea înainte să ajungă la server.
• Autentificarea în doi pași pentru toate conturile accesate din afara biroului.

Mai multe despre riscurile programelor fără suport găsiți în articolul despre problema tehnologiilor end-of-life (EOL).

Dacă nu știți în ce stare este serverul de e-mail al firmei, pornim de la un Audit IT gratuit. Pentru un incident în desfășurare, contactați-ne imediat. Iar ca să puteți restaura oricând un server curat, vedeți Backup as a Service.