{"id":352027,"date":"2024-09-30T07:04:29","date_gmt":"2024-09-30T07:04:29","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/mitigation-vulnerabilites-zero-day-microsoft-exchange\/"},"modified":"2024-10-13T00:41:30","modified_gmt":"2024-10-13T00:41:30","slug":"mitigation-vulnerabilites-zero-day-microsoft-exchange","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/fr\/blog\/mitigation-vulnerabilites-zero-day-microsoft-exchange\/","title":{"rendered":"Guide de mitigation des vuln\u00e9rabilit\u00e9s zero-day de Microsoft Exchange : Ce qu’il faut savoir et ce qu’il faut faire maintenant"},"content":{"rendered":"

\"Banni\u00e8re<\/p>\n

Mise \u00e0 jour le 16 mars 2021. <\/strong><\/p>\n

Le mardi 2 mars, Microsoft a annonc\u00e9<\/a> qu’elle avait d\u00e9tect\u00e9 une s\u00e9rie de quatre exploits de vuln\u00e9rabilit\u00e9 de type \u00ab\u00a0zero-day\u00a0\u00bb ou \u00ab\u00a00-day\u00a0\u00bb<\/a> activement utilis\u00e9s pour attaquer des versions d’Exchange Server sur site<\/strong>. Des correctifs sont disponibles<\/a> et il est vivement conseill\u00e9 aux entreprises d’identifier, de mettre \u00e0 jour et de v\u00e9rifier les syst\u00e8mes vuln\u00e9rables le plus rapidement possible.<\/p>\n

Nous avons cr\u00e9\u00e9 cet article pour rassembler des ressources et des informations connexes et nous le mettrons \u00e0 jour r\u00e9guli\u00e8rement.<\/p>\n

Contenu<\/h2>\n
    \n
  • Vue d’ensemble<\/a><\/li>\n
  • Informations sur les menaces fournies par les entreprises de s\u00e9curit\u00e9<\/a><\/li>\n
  • Quelles sont les vuln\u00e9rabilit\u00e9s ?<\/a><\/li>\n
  • Quelles sont les versions d’Exchange concern\u00e9es ?<\/a><\/li>\n
  • Quelle est l’ampleur des attaques ?<\/a><\/li>\n
  • Comment appliquer un correctif<\/a><\/li>\n
  • Identifier les serveurs vuln\u00e9rables<\/a><\/li>\n
  • Comment identifier et enqu\u00eater sur les compromissions<\/a><\/li>\n
  • Vid\u00e9o : Soyez rapidement \u00e0 la page avec John Hammond de Huntress<\/a><\/li>\n<\/ul>\n

     <\/p>\n

    Vue d’ensemble<\/h2>\n

    Vous trouverez ci-dessous des r\u00e9sum\u00e9s et des fils \u00e0 suivre pour vous mettre au diapason :<\/p>\n

      \n
    • HAFNIUM cible les serveurs Exchange avec des exploits zero-day (Microsoft)<\/a>\n
        \n
      • Comprend les d\u00e9tails de l’attaque, des informations sp\u00e9cifiques sur les CVE, des recommandations sur les mesures de mitigation et une liste d’indicateurs de compromission (IoC)<\/li>\n<\/ul>\n<\/li>\n
      • Alerte CISA : Att\u00e9nuer les vuln\u00e9rabilit\u00e9s du serveur Microsoft Exchange<\/a><\/li>\n<\/ul>\n

         <\/p>\n

        Informations sur les menaces fournies par les entreprises de s\u00e9curit\u00e9<\/h2>\n

        Huntress
        \n<\/strong>        Exploitation massive des serveurs Exchange sur site (fil de discussion sur r\/msp)<\/a><\/p>\n

        Fil de r\u00e9ponse rapide de Huntress<\/a> destin\u00e9 sp\u00e9cifiquement aux MSP, comprenant des informations sur les menaces et des conclusions tir\u00e9es de l’examen de leur propre base de partenaires. Huntress est activement mise \u00e0 jour au fur et \u00e0 mesure que de nouvelles informations sont disponibles.<\/p>\n

        Huntress a \u00e9galement organis\u00e9 un s\u00e9minaire en ligne le 4 mars \u00e0 13h ET et a pr\u00e9sent\u00e9 un r\u00e9sum\u00e9 de ses recherches et de ses observations jusqu’\u00e0 pr\u00e9sent. Regarder \u00e0 la demande ici.<\/a><\/p>\n

        Volexit\u00e9
        \n<\/strong>        Op\u00e9ration Exchange Marauder : Exploitation active de multiples vuln\u00e9rabilit\u00e9s de jour z\u00e9ro dans Microsoft Exchange<\/a><\/p>\n

        L’un des premiers \u00e0 avoir identifi\u00e9 (le 6 janvier !) et rapport\u00e9 cette activit\u00e9. Ce billet fournit plus de d\u00e9tails sur la mani\u00e8re dont les vuln\u00e9rabilit\u00e9s sont effectivement exploit\u00e9es ainsi qu’une courte liste de TTP (tactics, techniques, and procedures) observ\u00e9es apr\u00e8s l’exploitation. Il fournit \u00e9galement des IoC suppl\u00e9mentaires.<\/p>\n

        FireEye
        \n<\/strong>        D\u00e9tection et r\u00e9ponse \u00e0 l’exploitation des vuln\u00e9rabilit\u00e9s Zero-Day de Microsoft Exchange<\/a><\/p>\n

        Elle confirme \u00e9galement l’observation des abus en janvier et contient une autre analyse technique int\u00e9ressante des attaques. Contient des conseils suppl\u00e9mentaires pour enqu\u00eater sur les compromissions potentielles (voir ci-dessous).<\/p>\n

        Canari rouge
        \n<\/strong>        Exploitation du serveur Microsoft Exchange : Comment d\u00e9tecter, att\u00e9nuer et rester calme ?<\/a><\/p>\n

        Fournit une ventilation de l’activit\u00e9 de menace post-exploitation que Red Canary a identifi\u00e9e, ainsi que des opportunit\u00e9s de d\u00e9tection pratiques et des conseils de rem\u00e9diation.<\/p>\n

        CrowdStrike
        \n<\/strong>        Falcon Complete bloque les exploits de type \u00ab\u00a0Zero-Day\u00a0\u00bb de Microsoft Exchange Server<\/a><\/p>\n

        Si vous pouvez passer outre le titre et l’angle de vente, ce billet fournit des d\u00e9tails techniques suppl\u00e9mentaires, des IoC, et un bon r\u00e9capitulatif de la d\u00e9couverte et de la chasse aux menaces.<\/p>\n

         <\/p>\n

        Quelles sont les vuln\u00e9rabilit\u00e9s ?<\/h2>\n

        Microsoft a identifi\u00e9 quatre vuln\u00e9rabilit\u00e9s activement exploit\u00e9es, mais la mise \u00e0 jour de s\u00e9curit\u00e9 hors bande de l’entreprise traite \u00e9galement trois vuln\u00e9rabilit\u00e9s suppl\u00e9mentaires d’ex\u00e9cution de code \u00e0 distance (RCE) qui n’ont pas \u00e9t\u00e9 associ\u00e9es aux attaques actives.<\/p>\n

        Acc\u00e8s initial<\/strong><\/span><\/p>\n

        CVE-2021-26855 <\/a><\/h4>\n

        CVSSv3 : 9,1<\/strong><\/p>\n

        Une vuln\u00e9rabilit\u00e9 de type SSRF (server-side request forgery) dans Exchange qui permet \u00e0 des attaquants distants d’envoyer des requ\u00eates HTTP arbitraires et de s’authentifier en tant que serveur Exchange.<\/p>\n

        Selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Volexity :<\/a><\/p>\n

        Cette vuln\u00e9rabilit\u00e9 est exploitable \u00e0 distance et ne n\u00e9cessite pas d’authentification d’aucune sorte, ni de connaissances particuli\u00e8res ou d’acc\u00e8s \u00e0 un environnement cible. L’attaquant n’a besoin que de conna\u00eetre le serveur ex\u00e9cutant Exchange et le compte \u00e0 partir duquel il veut extraire le courrier \u00e9lectronique.<\/em><\/p>\n

        L’exploitation r\u00e9ussie de cette vuln\u00e9rabilit\u00e9 donne \u00e0 un attaquant la possibilit\u00e9 d’exploiter les trois autres vuln\u00e9rabilit\u00e9s ci-dessous.<\/p>\n

        Post-authentication remote code execution (RCE)<\/strong><\/span><\/p>\n

        CVE-2021-26857<\/a><\/h3>\n

        CVSSv3 : 7,8<\/strong><\/p>\n

        Selon Tenable<\/a>, la faille r\u00e9side dans le Exchange Unified Messaging Service<\/a>, qui permet la fonctionnalit\u00e9 de messagerie vocale en plus d’autres fonctions. Elle permet d’ex\u00e9cuter du code en tant que SYSTEM sur le serveur Exchange, mais n\u00e9cessite l’autorisation de l’administrateur ou une autre vuln\u00e9rabilit\u00e9 pour \u00eatre exploit\u00e9e.<\/p>\n

        CVE-2021-26858<\/a><\/h3>\n

        CVSSv3 : 7,8<\/strong><\/p>\n

        Si les attaquants sont en mesure de s’authentifier aupr\u00e8s du serveur Exchange (soit en exploitant CVE-2021-26855, soit en compromettant les informations d’identification d’un administrateur l\u00e9gitime), ils peuvent utiliser cette vuln\u00e9rabilit\u00e9 pour \u00e9crire un fichier dans n’importe quel chemin d’acc\u00e8s sur le serveur.<\/p>\n

        CVE-2021-27065<\/a><\/h3>\n

        CVSSv3 : 7,8<\/strong><\/p>\n

        Idem.<\/p>\n

         <\/p>\n

        Remarques sur l’activit\u00e9 post-exploitation<\/span><\/strong><\/p>\n

        Comme l’ont signal\u00e9 FireEye<\/a>, Volexity<\/a> et d’autres, des attaquants ont abus\u00e9 de ces vuln\u00e9rabilit\u00e9s pour lancer des shells web, y compris des variantes de China Chopper.<\/a> Ils permettent aux attaquants de pr\u00e9parer le terrain et d’effectuer toute une s\u00e9rie d’activit\u00e9s de post-exploitation.<\/p>\n

        Les TTP observ\u00e9es sont les suivantes<\/p>\n

          \n
        • Vol d’informations d’identification<\/strong> \u00e0 l’aide de ProcDump<\/a> (outil Windows Sysinternals l\u00e9gitime) pour vider la m\u00e9moire du processus LSASS<\/li>\n
        • Exfiltration de donn\u00e9es<\/strong>, y compris Carnets d’adresses hors ligne d’Exchange<\/li>\n
        • Exporter des donn\u00e9es de bo\u00eete e-mail<\/strong> via les Snap-ins Exchange PowerShell<\/li>\n
        • \u00c9tablissement d’un acc\u00e8s \u00e0 distance<\/strong> via PowerCat et d’autres cadres d’attaque<\/li>\n<\/ul>\n

          Pour plus d’informations sur les menaces post-exploitation, voir les recherches de Red Canary.<\/a><\/p>\n

           <\/p>\n

          \u00ab\u00a0Vuln\u00e9rabilit\u00e9s non li\u00e9es \u00ab\u00a0Bonus<\/strong><\/span><\/p>\n

          Outre ces vuln\u00e9rabilit\u00e9s de type \u00ab\u00a0zero-day\u00a0\u00bb, Microsoft a \u00e9galement corrig\u00e9 les failles RCE suivantes, qui n’ont aucun lien entre elles :<\/p>\n

            \n
          • CVE-2021-26412 (CVSSv3 : 9.1)<\/li>\n
          • CVE-2021-26854 (CVSSv3 : 6.6)<\/li>\n
          • CVE-2021-27078 (CVSSv3 : 9.1)<\/li>\n<\/ul>\n

             <\/p>\n

            Quelles sont les versions d’Exchange concern\u00e9es ?<\/h2>\n

            Comme Huntress l’a dit succinctement lors de leur webinaire<\/a>: tous.<\/strong><\/p>\n

            \"quelles<\/p>\n

              \n
            • Exchange Server 2010<\/li>\n
            • Exchange Server 2013<\/li>\n
            • Exchange Server 2016<\/li>\n
            • Exchange Server 2019<\/li>\n<\/ul>\n

              Remarque\u00a0:<\/strong> Microsoft a confirm\u00e9 qu’Exchange Online n’est PAS affect\u00e9.<\/a><\/p>\n

              Quelle est l’ampleur des attaques ?<\/h2>\n

              Bien que Microsoft ait initialement d\u00e9crit les attaques comme \u00e9tant \u00ab\u00a0limit\u00e9es et cibl\u00e9es\u00a0\u00bb, les conclusions ult\u00e9rieures d’autres fournisseurs et chercheurs indiquent que l’activit\u00e9 a \u00e9t\u00e9 beaucoup plus r\u00e9pandue et indiscrimin\u00e9e.<\/p>\n

              Mise \u00e0 jour : On estime qu’au moins 30 000 entreprises am\u00e9ricaines ont \u00e9t\u00e9 compromises<\/strong><\/p>\n

              Le vendredi 5 mars, Brian Krebs a rapport\u00e9 que de multiples sources estimaient que des centaines de milliers d’entreprises avaient \u00e9t\u00e9 compromises dans le monde entier<\/a>, dont 30 000 rien qu’aux \u00c9tats-Unis.<\/p>\n

              Le journaliste de Wired, Andy Greenberg, l’a confirm\u00e9 par la suite :<\/p>\n

              \n

              Confirmation du rapport de @briankrebs<\/a> selon lequel le groupe chinois Hafnium a exploit\u00e9 les failles de Microsoft Exchange pour pirater des dizaines de milliers de r\u00e9seaux. Un chercheur parle de 30 000 serveurs rien qu’aux \u00c9tats-Unis et de centaines de milliers dans le monde. \u00ab\u00a0La Chine vient de s’emparer du monde\u00a0\u00bb https:\/\/t.co\/C1FkmBVLNI<\/a><\/p>\n

              – Andy Greenberg (@a_greenberg) 6 mars 2021<\/a><\/p><\/blockquote>\n