Eset: V ČR je 3000 serverů MS Exchange napadnutelných hackery

Praha 12. března 2021 (ČTK) - V Česku je ve firmách a institucích téměř 3000 poštovních serverů Microsoft Exchange, které by bez opravy nedávno odhalených zranitelností mohli napadnout hackeři. Na tyto zranitelnosti se v současnosti zaměřuje přes deset hackerských skupin. Uvedla to bezpečnostní firma Eset. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) dnes nařídil firmám a organizacím podléhajícím zákonu o kybernetické bezpečnosti, aby bezodkladně Exchange Server aktualizovaly. Opatření se podle něj týká stovek subjektů. Další bezpečnostní firma Check Point zjistila, že za posledních 24 hodin se počet útoků každé dvě až tři hodiny zdvojnásobí. Zhruba 17 procent útoků směřovalo na vládní organizace a vojenský sektor, zatímco 14 procent útoků cílilo na výrobní společnosti. Ale významně byla zasažena i další odvětví, například bankovnictví (11 procent útoků), zdravotnictví (osm procent), které je v posledních měsících pod permanentním tlakem hackerů, a vzdělávání (sedm procent). Útoky zatím zasáhly především Turecko, USA a Itálii. Na začátku března vydal Microsoft pro poštovní servery Exchange bezpečnostní záplaty opravující zranitelnosti tzv. vzdáleného spuštění kódu (RCE). Tato technika umožňuje útočníkovi převzít kontrolu nad jakýmkoliv zranitelným serverem Exchange, který je otevřený do internetu, aniž je nutné znát platné přihlašovací údaje. "Den po vydání opravy jsme zaznamenali, jak řada útočníků skenuje a kompromituje zranitelné servery Exchange. Zajímavostí je, že kromě známých špionážních skupin prováděla tuto činnost i jedna, která se zaměřuje primárně na aktivity spojené s těžbou kryptoměn. Nicméně je jisté, že se k těmto zranitelným serverům budou chtít rychle dostat i další kyberzločinci, včetně tvůrců vyděračského ransomware," uvedl technický ředitel Esetu Miroslav Dvořák. Po celém světě bezpečnostní firmy odhalily přes 5000 napadených serverů ve 115 zemích. V Česku byl mezi napadenými pražský magistrát nebo ministerstvo práce. Opatření NÚKIB se povinně týká například systémů kritické informační infrastruktury, jejíž narušení by mělo dopad na bezpečnost státu, zabezpečení základních životních potřeb obyvatel, zdraví lidí nebo ekonomiku státu. Kromě jiných jde o subjekty z energetiky, vodního hospodářství, zdravotnictví, bankovnictví či letecké dopravy. "Mohu pouze potvrdit, že Bezpečnostní informační služba se společně s NÚKIB a Národní centrálou proti organizovanému zločinu v rámci své působnosti podílí na minimalizaci rizik způsobených odhalenou zranitelností produktu Microsoft Exchange Server," sdělil ČTK mluvčí BIS Ladislav Šticha. Záležitostí se podle mluvčího ministerstva obrany Jana Pejška zabývá i Vojenské zpravodajství. "Spolupracuje s NÚKIB, policií i dalšími subjekty. Jakékoliv bližší podrobnosti není možné sdělovat," sdělil ČTK Pejšek. Zároveň uvedl, že ministerstvo obrany nyní zajišťuje všechny úkony, které NÚKIB svým opatřením požaduje. Prověřuje tak, jestli se potíže nemohly týkat i jeho důležitých systémů. Odbor kybernetické bezpečnosti a koordinace informačních a komunikačních technologií ministerstva vnitra společně s Dohledovým centrem eGovernmentu nechalo zkontrolovat Exchange servery po 3. březnu. Instalovány měly být podle mluvčího ministerstva Ondřeje Krátošky i bezpečnostní záplaty. "Výstupem kontroly a následným ověřením jsou Exchange servery resortu ministerstva vnitra k dnešnímu dni bezpečně zajištěny dle doporučení NÚKIB," sdělil Krátoška ČTK. Společně s Národní centrálou proti organizovanému zločinu ministerstvo podle Krátošky koordinuje další postup při zajištění důkazů pro analýzy napadených serverů. Co do rozsahu a dopadu na bezpečnost informací se balík zranitelností produktů MS Exchange podle experta na kyberbezpečnost Schneider Electric Hynka Petraka vymyká. "Rekce NÚKIB je adekvátní riziku a nejen firmy podléhající zákonu o kybernetické bezpečnosti by měly urychleně dbát doporučení a provést všechny kroky k nápravě a zjištění, jestli jejich servery byly napadeny, nebo ne. Podle mnoha indikátorů jsou tyto zranitelnosti aktivně zneužívány organizovanými zločineckými skupinami již po dobu několika měsíců," podotkl. Podle Dvořáka je zásadní, aby firmy a organizace nainstalovaly na své servery příslušné aktualizace co nejdříve. Aktualizaci by měly mít i ty servery, které do internetu vystaveny přímo nejsou. Pokud už k napadení došlo, měli by administrátoři škodlivé programy odstranit, změnit přístupové údaje a prověřit, zda se na serveru neobjevily i další aktivity útočníků. jsa rem cap snm - sdílejte článek