Exchange/Hafnium

Seite 1 von 4 - Forum: Internet & Provider auf overclockers.at

URL: https://www.overclockers.at/internet-provider/exchange-hafnium_257601/page_1 - zur Vollversion wechseln!

Verwenden exchange, sind schon gepatcht, waren nicht betroffen.
Wir haben unter der Woche am Abend ein zweistündiges Wartungsfenster eingeschoben.

Trotzdem gruslig wie da mehrere, hochkomplexe Sicherheitslücken zusammengestöpselt wurden, um Adressbücher und E-Mails abzusaugen und Server zu kompromittieren,
ich kann mir kaum ausmalen wie viele Stunden Arbeit in der Entwicklung dieser exploit-chain drinstecken.

Mittwoch Abend war lustig ja

ebenso Mittwoch nacht gepatched.

habt ihr eure Logs gescanned?

HAFNIUM targeting Exchange Servers with 0-day exploits - Microsoft Security

Microsoft has detected multiple 0-day exploits being used to attack on-premises versions of Microsoft Exchange Server in limited and targeted attacks. In the attacks observed, threat actors used this vulnerability to access on-premises Exchange servers, which enabled access to email accounts, and install additional malware to facilitate long-term access to victim environments. Microsoft Threat Intelligence Center (MSTIC) attributes this campaign with high confidence to HAFNIUM.

Link: www.microsoft.com

https://github.com/microsoft/CSS-Ex...e/main/Security
Download Test-ProxyLogon.ps1 hat jedenfalls nix gefunden.

kenne welche die es erwischt hat. Ein System sogar selbst analysiert.
Ging extrem schnell. Beim Scanner muss man auf das Ergebnis genau schauen weil auch die scans Mittwoch morgen auf die Autoconfig XML ausschlagen können. Wenn wirklich etwas ist sieht man aber deutlich mehr und auch Mailboxen/email Adressen.

Tipp ist für einen schnellen Check aber gleich mal das inetpub Verzeichnis des IIS zu checken. dort werden webshells und co hochgeladen.

nach cmd.exe oder powershell.exe als child process vom w3wp Ausschau halten, inetpub durchschauen war auch das erste was ich gemacht hab.

Ich bin jetzt durch fürs erste und mir eigentlich sicher, dass wir nicht betroffen sind - gepatcht hat unser Dienstleister Donnerstag nachmittag, die sind von sich aus damit auch beschäftigt, ihre Kunden durchzuschauen, ich hab aber jetzt selbst alle Scripts, die es von offizieller Seite gibt, durchgeschaut und auch die Indicators of Compromise geprüft und wir dürften Glück gehabt haben...

Wir sollten wieder Schreibmaschinen anschaffen für alle, das macht weniger Arbeit...

Zitat aus einem Post von Cuero

Hafnium — Krebs on Security

Link: krebsonsecurity.com

Nachdem hier viele im IT Betrieb arbeiten - wie schauts bei euch aus, wie verbringt ihr euer Wochenende, falls ihr Exchange nutzt?

Zitat aus einem Post von Viper780

Dienstag Abend/Nacht war für unsere SysOps spannend und wenig erholsam.
Alle Kundensysteme gepatched, internes OWA abgedreht und erste Mitigation in Stellung gebracht.
Backup Systeme und Reserve Systeme vom Netz genommen.

Mittwoch Nachmittag war dann alles wieder wie vorher - nur ein paar Filterrules auf der Firewall mehr

wenn ihr wirklich schon dienstag auf mittwoch gepatcht hab, gratuliere
schnell mitbekommen und reagiert. ich bzw. wir habens erst mittwoch vormittag erfahren und dann eben am abend alle exchange systeme gepatcht
aber managed dedicated exchange habt ihr nicht oder? d.h. nur 2 systeme de facto (intern und hosted)

Bei uns wurde Mittwoch während Business Hours () gepatcht, ca 14-16:00 kompletter Exchange down mit Ankündigung um 13:45, waren a paar lustige Anrufe.

Angesichts der dramatik nachvollziehbar, ich hätte das telefon einfach abgedreht und gewerkt. Leider fehlt uns personal, um solche dinge intern zu betreiben...

Zitat aus einem Post von Cuero

Klingt gut, wo krieg ich ein angebot für exchange für ~200 user?

Zitat aus einem Post von userohnenamen

wenn ihr wirklich schon dienstag auf mittwoch gepatcht hab, gratuliere
schnell mitbekommen und reagiert. ich bzw. wir habens erst mittwoch vormittag erfahren und dann eben am abend alle exchange systeme gepatcht
aber managed dedicated exchange habt ihr nicht oder? d.h. nur 2 systeme de facto (intern und hosted)

Zitat aus einem Post von UnleashThebeast

Bei uns wurde Mittwoch während Business Hours () gepatcht, ca 14-16:00 kompletter Exchange down mit Ankündigung um 13:45, waren a paar lustige Anrufe.

overclockers.at v4.thecommunity
© all rights reserved by overclockers.at 2000-2025