En ny attackmetod har upptäckts i Microsoft Exchange och i nuläget drabbat flera svenska organisationer.
Servrar som patchats för en tidigare ProxyShell-sårbarhet påverkas nu av en ny attackvektor i Microsoft Exchange. Detta skapar störningar i befintliga e-posttrådar som resulterar i att infekterade svar med länkar till QakBot/DanaBot/SquirrelWaffle.
Vi rekommenderar att vara ytterst vaksamma på plötsliga e-postmeddelanden i mejltrådar, underlig formatering eller bifogade zip-filer. Är du osäker, verifiera filen med avsändaren och/eller ert it-säkerhetsteam. Okända bilagor bör inte öppnas alls och vi rekommenderar att tills vidare blockera zip-filer helt och hållet i spamfiltret.
Just nu räcker det inte att patcha sårbarheten. Visar sig era servrar vara påverkade av tidigare MS Exchange-sårbarheter från september och oktober månad så rekommenderas det att granska samtliga IOC snarast i er miljö.
Lista med IOC.er hittar ni på:
https://www.truesec.com/hub/blog/proxyshell-qbot-and-conti-ransomware-combined-in-a-series-of-cyber-attacks
Källa
https://www.cert.se/2021/11/ny-sarbarhet-i-ms-exchange-kan-leda-till-ransomware?src=rss
