全球網路安全解決方案領導廠商Check Point Software Technologies Ltd.（NASDAQ股票代碼：CHKP） 揭露近日Microsoft Exchange Server零時差漏洞的相關攻擊數據，並預告即將公佈防範建議。自漏洞曝光後，駭客與資安人員之間展開了一場激烈的攻防戰，全球資安專家們正努力採取大規模預防措施，而駭客們則持續試圖利用 Microsoft Exchange 中的遠端程式碼執行漏洞（RCE）。

Check Point數據顯示，當前遭受最多攻擊的國家為美國 （17%），其次是德國（6%）、英國（5%）及荷蘭（5%）；首當其衝的行業分別為政府及軍事部門（27%）、製造業（15%）與金融業（14%）。

微軟Exchange Server零時差漏洞事件

微軟在 3 月 3 日針對Exchange Server 發佈了一個緊急修補程式。Exchange Server為全球最受歡迎的電子郵件伺服器，在收發電子郵件、會議邀請以及任何使用Outlook 的過程皆會使用到。

來自臺灣資安公司戴夫寇爾（DEVCORE）的蔡政達於一月份揭露了兩個漏洞，為確定這些漏洞的嚴重程度，微軟對 Exchange Server作了進一步調查，隨後又發現五個重大漏洞。透過這些漏洞，攻擊者無需經過身份驗證或登入帳戶，即可從 Exchange Server讀取電子郵件，若進一步使用漏洞串聯（Vulnerability Chaining），攻擊者則能夠完全接管電子郵件伺服器。一旦攻擊者接管了 Exchange Server，他們就可以連網並進行遠端存取，因為許多 Exchange Server都具有網路暴露（internet exposer）功能，特別是 Outlook網頁版，並整合至更廣泛的網路之中，這對數百萬企業構成了嚴重的安全風險。

可能面臨風險的企業

若企業的微軟 Exchange Server 有連接至網路、未更新至最新的修補程式，且沒有採用第三方軟體廠商如 Check Point 的保護，即可假定該伺服器已遭受攻擊。受感染的伺服器將允許未經授權的攻擊者竊取企業的電子郵件，並以系統權限在企業內執行惡意程式碼。

四個Microsoft Exchange Server零時差漏洞

 CVE-2021-26855 — Exchange 中的一個伺服器端請求偽造（SSRF）漏洞，允許攻擊者發送任意 HTTP 請求，並被視為 Exchange Server 而通過身份驗證。
 CVE-2021-26857 — 整合通訊（UM）中不安全的反序列漏洞（Deserialization Vulnerability）。不安全的反序列漏洞是指程式對不受信任的使用者可控數據進行反序列化。HAFNIUM 能夠利用此漏洞在 Exchange Server 上以系統身份執行程式碼，但此漏洞需要擁有管理員權限或透過其他漏洞才能被有效利用。
 CVE-2021-26858 — Exchange 中的身份驗證後任意檔案寫入漏洞。如果 HAFNIUM 可以通過 Exchange Server 的身份驗證，則可以使用此漏洞將檔案寫入伺服器上的任何路徑。它們可以利用 CVE-2021-26855 SSRF 漏洞或破壞合法管理員的憑證進行身份驗證。
 CVE-2021-27065 — Exchange 中的身份驗證後任意檔案寫入漏洞。如果 HAFNIUM 可以通過 Exchange Server的身份驗證，則可以使用此漏洞將檔案寫入伺服器上的任何路徑。它們可以利用 CVE-2021-26855 SSRF 漏洞或破壞合法管理員的憑證進行身份驗證。

自漏洞被揭露以來，Check Point Research陸續收到了許多有關攻擊者身份、動機和近期主要駭客事件背景問題。如同先前的Sunburst攻擊，在這次攻擊中，攻擊者將一個常見的平台作為入口，秘密入侵並長期停留在網路中，而好消息是，只有技術高超且資金充足的攻擊者才能利用前門潛入全球數以萬計的企業。儘管這場利用 Exchange Server 零時差漏洞發起的攻擊引起了廣泛關注，但其攻擊目的以及駭客試圖竊取的內容仍不為人所知。面臨風險的企業不僅應為其 Exchange Server 採取預防措施，更應全面檢視企業網路中的活躍威脅及所有資產。

Check Point 為預防攻擊及資安防護提供了以下建議：

 修補程式 — 立即手動更新微軟 Exchange Server 至微軟提供的最新修補版本。
 威脅防護措施 — Check Point的威脅防護措施能夠為此次微軟揭露的漏洞提供全面的安全防護。

更多有關此漏洞的資訊：

IPS
 CVE-2021-26855 - CPAI-2021-0099
 CVE-2021-26857 - CPAI-2021-0107
 CVE-2021-26858 - CPAI-2021-0107
 CVE-2021-27065 - CPAI-2021-0099

威脅模擬（TE）

 Trojan.WinsCVE-2021-27065.A

防毒

 HAFNIUM.TC.XXX
 Trojan.Win32.Hafnium.TC.XXX

Check Point Harmony 端點防護（正式名稱為SandBlast Agent）

 Behavioral.Win.SuspExchange.A
 Behavioral.Win.SuspExchange.B
 Behavioral.Win.SuspExchange.C
 Behavioral.Win.SuspExchange.D