Руска хакерска група, спонсорирана от държавата, известна като Laundry Bear, проследявана и под името Void Blizzard, беше заловена да експлоатира неизвестна досега уязвимост в интерфейса Outlook Web Access (OWA) на Microsoft Exchange. Кампанията разпространява персонализиран бекдор, наречен OWAReaper, който дава на атакуващите тих, дългосрочен достъп до имейл акаунтите на жертвите. Този хак чрез zero-day в Exchange OWA е напомняне, че корпоративните имейл системи остават една от най-привлекателните цели за държавно подкрепян шпионаж и че само чрез актуализиране рядко се затваря пролуката достатъчно бързо.

Какво представлява кампанията Laundry Bear / OWAReaper

Laundry Bear, наричана още Void Blizzard, е руски заплаха, спонсорирана от държавата, с история на атаки срещу правителствена, отбранителна и корпоративна имейл инфраструктура. В тази последна кампания групата експлоатира уязвимост от типа zero-day в Exchange OWA – базираният на уеб портал, който позволява на служителите да проверяват имейла си от всеки браузър, без да се нуждаят от специален десктоп клиент. Чрез злоупотреба с тази уязвимост атакуващите внедряват OWAReaper – бекдор, проектиран специално за продължителен, скрит достъп до пощенските кутии, а не за бърза кражба на данни.

Това, което прави кампанията забележителна, е нейната устойчивост. Вместо да извлече данни веднъж и да продължи напред, целта изглежда е да се поддържа опора в целевите пощенски кутии за продължителни периоди, позволявайки непрекъснат мониторинг на комуникациите. Такъв дългосрочен достъп е отличителен белег на шпионски операции, а не на финансово мотивирана киберпрестъпност, и се вписва в модела на руски държавни актьори, които проучват корпоративни уебмейл платформи точно за такъв вид скрито присъствие. Това напомня за подобна кампания, при която руски шпиони експлоатираха zero-day в Zimbra, за да атакуват имейли на НАТО, показвайки, че уебмейл платформите на множество доставчици са проучвани от същата категория противници.

Кой е изложен на риск от тази уязвимост в Exchange

Организациите, които поддържат локални или хибридни Exchange сървъри с OWA, изложен в интернет, са най-непосредствено засегнати. OWA е проектиран за удобство: служители, ръководители и ИТ администратори го използват, за да достъпват имейла си от разстояние, без да се нуждаят от VPN клиент или управлявано устройство. Същото това удобство е именно това, което го прави високостойностна цел. Всяка организация, чийто персонал може да влиза в уебмейл от неуправляван лаптоп, личен телефон или обществена мрежа, е потенциално изложена, ако основният Exchange сървър не е укрепен или обновен срещу тази уязвимост.

Правителствени агенции, отбранителни изпълнители и организации, които работят с чувствителни дипломатически или политически комуникации, исторически са предпочитаните цели за групи като Laundry Bear. Но инструментите, използвани в тези кампании, често биват преназначавани или копирани от по-малко опитни нападатели, след като детайлите станат публични, което означава, че по-малките фирми и неправителствените организации не трябва да приемат, че са безинтересна цел, само защото им липсва стратегическа стойност за една държава.

Защо необновените корпоративни имейл системи остават водеща цел за шпионаж

Имейлът все още е гръбнакът на институционалната комуникация, което прави пощенските кутии ненадминат източник на разузнавателна информация. Една единствена компрометирана пощенска кутия може да разкрие вътрешна стратегия, лични данни, финансови детайли и комуникации с партньори или клиенти. Exchange, в частност, е бил многократно атакуван през годините, защото се намира на пресечната точка на две неща, които атакуващите желаят най-много: широка интернет достъпност чрез уебмейл портали и дълбока интеграция с вътрешната мрежа на организацията.

Уязвимостите от типа zero-day, като тази зад кампанията OWAReaper, са особено опасни, тъй като в момента на откриването няма налична поправка. Защитаващите се принудени да разчитат на откриване, сегментиране на мрежата и ограничения на достъпа, докато доставчикът не пусне и приложи корекция. Този прозорец, понякога с продължителност от седмици, е точно времето, в което спонсорираните от държавата групи нанасят най-големи щети, вграждайки бекдорове, които могат да оцелеят дълго след като оригиналната уязвимост в крайна сметка бъде поправена.

Как VPN и други защитни мерки се вписват в осигуряването на корпоративния имейл достъп

Сам по себе си VPN не може да спре атакуващ да експлоатира пропуск в самото уебмейл приложение, но той остава значим слой в по-широка стратегия за защита. Ограничаването на достъпа до OWA само до устройства, свързани чрез корпоративен VPN, вместо да се оставя отворен за целия интернет, значително намалява повърхността за атака. Комбинирайте това с многофакторно удостоверяване, мрежово сегментиране и стриктно наблюдение на дневниците за достъп до пощенските кутии, и организациите правят значително по-трудно за бекдор като OWAReaper да оперира незабелязано, дори ако zero-day бъде експлоатирана.

Какво означава това за вас

Ако работите за организация, която разчита на Exchange и OWA, това е сигнал да проверите с вашия ИТ или екип по сигурността относно текущия статус на обновленията и дали OWA е директно изложен в интернет или е защитен зад VPN. За ИТ администраторите, затягането на контролите за достъп сега, вместо да се чака официална поправка, може значително да намали риска. За отделните служители, това е добър момент да бъдат по-внимателни към неочаквани подкани за вход, необичайно поведение на пощенската кутия или имейли, които изглеждат леко подозрителни, тъй като кампаниите с бекдори често разчитат на дискретно присъствие, а не на очевидни червени флагове.

Практически препоръки

  • Попитайте вашия ИТ отдел дали Exchange сървърите на вашата организация са получили последните обновления за сигурност, свързани с OWA.
  • Където е възможно, ограничете достъпа до OWA само до устройства, свързани чрез VPN, вместо да го оставяте отворен към публичния интернет.
  • Активирайте и наложете многофакторно удостоверяване за всички имейл акаунти, особено тези с административни привилегии.
  • Наблюдавайте за необичайни правила в пощенската кутия, настройки за препращане или необичайни места за вход, които биха могли да показват, че бекдор като OWAReaper вече е активен.
  • Бъдете информирани за свързани кампании, включително модела, наблюдаван когато руски шпиони експлоатираха zero-day в Zimbra, за да атакуват имейли на НАТО, тъй като спонсорирани от държавата актьори често сменят целите си между различни имейл платформи.

Този хак чрез zero-day в Exchange OWA подчертава една по-широка истина: корпоративният имейл ще продължи да бъде водеща цел за държавно спонсориран шпионаж, докато остава едновременно критичен за мисията и достъпен от интернет. Да останеш напред изисква повече от единична поправка. Изисква многопластови контроли за достъп, бдително наблюдение и навика да се отнасяме към уебмейл порталите със същата грижа като към всяка друга критична част от инфраструктурата.