En los últimos días, al menos 30,000 organizaciones en Estados Unidos, incluida una cantidad significativa de pequeñas empresas, pueblos, ciudades y gobiernos locales, han sido pirateadas por una unidad de ciber espionaje china inusualmente agresiva que se enfoca en robar correos electrónicos de organizaciones.
El 2 de marzo, Microsoft lanzó actualizaciones de seguridad de emergencia para tapar cuatro agujeros de seguridad en las versiones de Exchange Server 2013 a 2019 que los piratas informáticos estaban utilizando activamente para desviar las comunicaciones por correo electrónico de los sistemas conectados a Internet que ejecutan Exchange.
Microsoft dijo que las fallos de Exchange estaban siendo atacados por un equipo de piratería chino no identificado previamente al que apodó “Hafnium“, y dijo que el grupo había estado realizando ataques dirigidos a sistemas de correo electrónico utilizados por una variedad de sectores de la industria, incluidos investigadores de enfermedades infecciosas, bufetes de abogados, instituciones educativas, contratistas de defensa, grupos de expertos en políticas y ONG.
En los tres días transcurridos desde entonces, los expertos en seguridad dicen que el mismo grupo de ciber espionaje chino ha intensificado drásticamente los ataques a cualquier servidor Exchange vulnerable y sin parches en todo el mundo.
Un tweet de Chris Krebs, ex director de la Agencia de Seguridad de Infraestructura y Ciberseguridad, en respuesta a un tweet del asesor de seguridad nacional de la Casa Blanca, Jake Sullivan.
La secretaria de prensa de la Casa Blanca, Jen Psaki, dijo a los periodistas hoy que las vulnerabilidades encontradas en los servidores Exchange ampliamente utilizados de Microsoft eran “significativas” y “podrían tener un impacto de gran alcance“.
“Nos preocupa que haya una gran cantidad de víctimas”, dijo Psaki.
Según todas las cuentas, erradicar a estos intrusos requerirá un esfuerzo de limpieza nacional urgente y sin precedentes. Expertos en seguridad dicen que están preocupados de que cuanto más tarden las víctimas en quitar las puertas traseras, más probable es que los intrusos sigan instalando puertas traseras adicionales y tal vez ampliando el ataque para incluir otras partes de la infraestructura de red de la víctima.
Cuando se lanzó el parche para las cuatro vulnerabilidades de Exchange Server el martes 6 de marzo, Microsoft enfatizó que la vulnerabilidad no afectó a los clientes que ejecutan su servicio Exchange Online 365.