微软警告愈来愈多骇客开采Exchange服务器漏洞

微软本周指出，Exchange服务器一直是骇客的主要攻击目标之一，最常见的手法是发动社交工程攻击或偷渡式下载来窃取凭证，其次才是开采Exchange漏洞，然而，最近有愈来愈多的骇客采用第二种攻击形式，特别是开采微软于今年2月修补的CVE-2020-0688漏洞。

CVE-2020-0688漏洞肇因于安装Exchange服务器时，未能妥善地建立独特的金钥，而允许既有用户取得系统管理权限，并自远端执行任意程式。然而，资安业者Rapid7今年4月发现，全球的公开网络上至少还有35万个Exchange服务器尚未修补该漏洞，占所有受影响Exchange服务器的82.5%。

微软则说，最普遍的Exchange攻击途径是骇客锁定终端用户发动社交工程或偷渡式下载攻击，先窃取用户凭证，再以渐进方式横向移到其它终端，一直到取得Exchange服务器存取权为止。其次才是开采Exchange服务器的安全漏洞，而这是骇客的梦想，因为它能够直接进驻服务器，且倘若服务器的存取层级配置错误，就能取得系统权限。

根据微软的观察，就算第一种途径相对热门，但他们看到采用第二种途径的攻击行动愈来愈多，且主要是开采CVE-2020-0688漏洞。而且在成功取得Exchange服务器的存取权之后，有许多骇客选择在服务器上部署Web Shell，以窃取资料或是执行其它的恶意行动。

美国国安局（NSA）与负责搜集国外情报的澳洲信号局（Australian Signals Directorate，ASD）曾在今年4月下旬警告，有愈来愈多的骇客利用网页壳层（Web Shell）来渗透受害者的网络，以自远端执行任意的系统命令。Web Shell是种基于命令列的操作界面，骇客可将恶意的Web Shell上传到被危害的服务器上以执行各种系统命令。

总之，为了避免沦为Exchange服务器漏洞的受害者，微软建议用户应该要部署安全更新，启用防毒软件与其它保护机制，检查敏感的角色与群组是否被注册了新账号，也应实施存取控制，并注意可疑活动警报。