Már zsarolóvírusok is ostromolják az Exchange szervereket

​Az Exchange Server súlyos biztonsági hibáját már a zsarolóvírusok terjesztői is elkezdték kihasználni. Így az esetleges adatszivárgások mellett további károkozások kockázatával is számolni kell.
 

A Microsoft március elején tett közzé egy soron kívüli biztonsági frissítést az Exchange Serverhez, amellyel az azóta ProxyLogon ismertté vált sérülékenységet igyekezett orvosolni. Ez akkor egy nulladik napi biztonsági résnek minősült, vagyis már a hibajavítás előtt kihasználták azt a feketekalapos hackerek. Azóta e támadások száma folyamatosan emelkedik, miközben mind több hackercsoport alapozza akcióit a sebezhetőségre. Míg korábban elsősorban adatszivárogtatás volt a céljuk, addig mostanra már a zsarolóvírusok terjesztését is elkezdték a biztonsági résen keresztül.

A DearCry nevű zsarolóprogram több Exchange Serveren is felütötte a fejét. Az ID-Ransomware és a MalwareHunterTeam kutatóinak vizsgálatai szerint a ProxyLogon is közrejátszhatott e fertőzésekben, így még egy ok van arra, hogy minden üzemeltető frissítse az érintett kiszolgálókat.

A DearCry zsarolóvírus az érintett számítógépeken fájlok titkosításával okoz károkat. Az állományok kompromittálása során AES-256, valamint RSA-2048 alapú titkosítási technikákat vet be, és a használhatatlanná tett állományok nevét .CRYPT kiterjesztéssel egészíti ki. Emellett e fájlok elejéhez egy 'DEARCRY!' karaktersorozatot is hozzáfűz, ezzel is megjelölve azokat. 

A víruskutatóknak jelenleg még nem sikerült olyan gyenge pontot találniuk a DearCry-on, amelynek kihasználásával a dekódolás elvégezhető lenne. Eközben viszont a zsarolók meglehetősen komoly összegeket követelnek az áldozataiktól. Egy esetben például 16 ezer dollárt próbáltak bezsebelni a dekódoláshoz szükséges kulcsokért. 

Van még teendő 

A Palo Alto Networks szerint az elmúlt napokban több tízezer Exchange Serverre kerültek fel a Microsoft által kiadott patch-ek, azonban a vállalat statisztikái szerint még így is legalább 80 ezer sebezhető szerver kapcsolódik az internethez. A cég minden üzemeltető számára a frissítések mielőbbi elvégzését javasolja. Emellett kiemelte, hogy minden frissítés előtt azt kell feltételezni, hogy az adott kiszolgálót már kompromittálták, így további ellenőrzésekre is szükség lehet.