Atacul asupra serverelor Microsoft a afectat aproape 100 de companii

O amplă operaţiune de spionaj cibernetic, care a vizat software-ul serverelor Microsoft, a compromis aproximativ 100 de organizaţii până în weekend, potrivit celor două organizaţii care au contribuit la descoperirea campaniei, informează Reuters.

Microsoft a emis sâmbătă o alertă privind „atacuri active” asupra serverelor SharePoint autogăzduite, folosite la scară largă de companii şi instituţii pentru partajarea documentelor şi colaborare internă. Instanţele de SharePoint găzduite direct de Microsoft nu au fost afectate.

Atacurile sunt considerate de tip „zero-day”, deoarece exploatează o vulnerabilitate necunoscută anterior în sistem. Prin aceasta, atacatorii pot penetra serverele vulnerabile şi instala o portiţă (backdoor) care le permite acces continuu în reţelele victimelor.

Vaisha Bernard, şeful echipei de hacking al firmei olandeze de securitate cibernetică Eye Security, a declarat că un scan global efectuat împreună cu Fundaţia Shadowserver a identificat aproape 100 de victime, iar aceasta înainte ca tehnica să devină public cunoscută.

„Este fără echivoc,” a spus Bernard. „Cine ştie ce alţi atacatori au profitat între timp pentru a planta alte portiţe de acces.”

Bernard a refuzat să nominalizeze organizaţiile afectate, dar a afirmat că autorităţile naţionale competente au fost notificate.

Fundaţia Shadowserver a confirmat cifra de 100, menţionând că cele mai multe victime se află în Statele Unite şi Germania, printre acestea numărându-se şi organizaţii guvernamentale.

Un alt cercetător a afirmat că, deocamdată, se pare că atacul este opera unui singur actor sau grup restrâns de hackeri.

„Este posibil ca situaţia să se schimbe rapid,” a avertizat Rafe Pilling, director de informaţii despre ameninţări la compania britanică de securitate cibernetică Sophos.

Microsoft a transmis că a furnizat actualizări de securitate şi îndeamnă clienţii să le instaleze imediat, potrivit unui purtător de cuvânt citat într-o declaraţie prin e-mail.

Nu este clar cine se află în spatele atacului în desfăşurare, însă compania Google (Alphabet) - care monitorizează volume mari de trafic pe internet - a legat cel puţin o parte dintre atacuri de un actor cu conexiuni în China.

Ambasada Chinei la Washington nu a răspuns imediat solicitărilor de comentarii. Beijingul neagă în mod constant implicarea în acţiuni de hacking.

FBI a confirmat duminică faptul că este la curent cu atacurile şi că lucrează împreună cu partenerii federali şi privaţi, fără a oferi alte detalii. La rândul său, Centrul Naţional de Securitate Cibernetică din Marea Britanie (NCSC) a transmis că este conştient de „un număr limitat” de ţinte pe teritoriul britanic.

Un cercetător care urmăreşte campania a spus că ţintele iniţiale păreau a fi un set restrâns de organizaţii legate de guvern.

Totuşi, numărul potenţial de servere vulnerabile este vast. Potrivit datelor furnizate de Shodan, un motor de căutare care identifică dispozitive conectate la internet, peste 8.000 de servere online ar putea fi deja compromise. Shadowserver estimează numărul la puţin peste 9.000, cu precizarea că aceasta este o cifră minimă.

Serverele expuse includ companii industriale importante, bănci, auditori, firme din domeniul sănătăţii, precum şi entităţi guvernamentale americane la nivel de stat, dar şi organizaţii internaţionale.

„Incidentul SharePoint pare să fi generat un nivel extins de compromitere a serverelor la nivel global,” a declarat Daniel Card, expert în securitate cibernetică la firma britanică PwnDefend.

„Adoptarea unei abordări de tip "presupunere de compromitere' este înţeleaptă, iar aplicarea patch-ului nu este suficientă. Sunt necesare investigaţii suplimentare pentru a identifica şi elimina eventualele portiţe deja instalate.”