Angreifer attackieren Microsoft Exchange Server

[mentos]

https://www.heise.de/news/Jetzt-patchen-Angreifer-attackieren-Microsoft-Exchange-Server-5070309.html

Zitat von heise.de: Für die folgenden verwundbaren Exchange-Server-Versionen haben die Entwickler abgesicherte Ausgaben veröffentlicht:

• Exchange Server 2010 (RU 31 for Service Pack 3)
• Exchange Server 2013 (CU 23)
• Exchange Server 2016 (CU 19, CU 18)
• Exchange Server 2019 (CU 8, CU 7)

Damit Admins ihre installierten Exchange-Server-Versionen zügig prüfen können, stellt Microsoft ein Skript zum Download bereit. Mit den Sicherheitsupdates schließen die Entwickler noch drei weitere Schwachstellen (CVE-2021-26412, CVE-2021-26858, CVE-2021-27078), auf die es derzeit aber keine Angreifer abgesehen haben sollen.

Sind die Exchange Server schon gepacht? Gab es Einbrüche? Im Heise Artikel wird ja auch auf Informationen verwiesen woran man erkennen kann ob die Daten schon kompromitiert wurden.

Jürgen Hoffmann

[Nils Dornblut]

Hallo Herr Hoffmann,

uns sind diese Meldungen bekannt. Weitere Details sind mir nicht bekannt. Ich frage jedoch einmal genauer nach und wir melden uns dann.

Mit freundlichen Grüßen

Nils Dornblut

[Kukulkan]

Hallo. Wie ist der Stand hier? Ist die DF auch betroffen? Und damit auch bei Euch gehostete Exchange-Konten?

[[headcrash]]

Glaube nicht, dass das Forum der richtige Kanal für diese Art von Informationen ist.

[mentos]

@headcrash Leider gibt es aber auch sonst keine Informationen dazu. Ich habe nix auf der Homepage gefunden und auch sonst keine Kommunikation von df dazu gelesen.

[drSoniX]

Mich würde es auch interessieren - wie sieht es bei DF aus?

[ZZZTW2A]

Ich brauche dazu auch dringend eine Aussage, weil dazu auch Kunden Anfragen und man als Reseller eine Antwort schuldig ist. Die Kunden müssen ggf. Maßnahmen ergreifen, wenn das Exchange-System möglicherweise kompromittiert wurde.

[[headcrash]]

Mail an den Support oder seinen persönlichen Ansprechpartner sollte zielführender sein

[wsp]

Mail an den Support oder seinen persönlichen Ansprechpartner sollte zielführender sein

Wieso? Sehe ich nicht so!
Die Antwort ist 1. von allgemeinem grossem Interesse und 2. hat Nils hier bereits weiter oben am 7.3. bestätigt, dass Infos folgen werden...

[drSoniX]

Habe mich extra wegen diesem Mist heute wieder registriert. War schon vorher im alten Forum unterwegs.

Mail an den Support oder seinen persönlichen Ansprechpartner sollte zielführender sein

Klar kann ich machen.
Ich bekomme dann eine Antwort.

[Nils Dornblut]

Hallo zusammen,

wir haben den Patch direkt am Mittwochmorgen, also vor knapp einer Woche, auf unseren Frontend-Servern (OWA) eingespielt. Dies direkt und schnellstmöglich nachdem wir von der Problematik Kenntnis genommen haben. Im Laufe der folgenden beiden Tage erfolgte die Einspielung auch auf den restlichen Backend-Servern.

Auch habe wir natürlich die von Microsoft bereitgestellten Tools/Skripte auf unseren Servern ausgeführt. Hierbei wurden keine bedenklichen Dateien gefunden und bisher konnten wir auch sonst keine verdächtigen Anzeichen finden. Aktuell gehen wir daher nicht davon aus, dass sich jemand Zugriff zu unseren Servern verschafft hat.

Es ist aber auch weiterhin ein Security Incident offen, in dem das Thema behandelt und weiter beobachtet wird.

Mit freundlichen Grüßen

Nils Dornblut

[drSoniX]

Das ist eine positive Rückmeldung - vielen Dank dafür!

👍👍👍👍👍

Gruß

[mentos]

Danke, Nils.

Und ich würde mir in Zukunft proaktive Information dazu wünschen. Wenn es eine Bedrohung gibt, könnte nach dem Einspielen der Patches der aktuelle Stand an alle Kunden die das Produkt gekauft haben eine entsprechende Email gehen. Ich habe eigentlich anderes zu tun und möchte nicht im Forum nachfragen müssen ob unsere Firmendaten sicher sind.

Jürgen Hoffmann

[mentos]

In den letzten 24 Stunden hat der Outlook Client mit einem Popup Fenster zweimal einen Neustart gewünscht, weil (sinngemäßes Zitat) "Der Exchange Administrator Änderungen am Server vorgenommen hat". Es gab und gibt keine Nachricht dazu auf "https://status.df.eu/" und auch sonst keine Kommunikation die uns als Firma erreicht hätte. Fangt bitte an mit uns Kunden aktiv zu sprechen und zu erklären was gerade passiert.

[User23]

In den letzten 24 Stunden hat der Outlook Client mit einem Popup Fenster zweimal einen Neustart gewünscht, weil (sinngemäßes Zitat) "Der Exchange Administrator Änderungen am Server vorgenommen hat". Es gab und gibt keine Nachricht dazu auf "https://status.df.eu/" und auch sonst keine Kommunikation die uns als Firma erreicht hätte. Fangt bitte an mit uns Kunden aktiv zu sprechen und zu erklären was gerade passiert.

Kann ich bestätigen. Ich habe aber noch zwei weitere Beobachtungen:
1. Am Freitag suchte ich eine Mail. Ich wusste, dass ich sie am Mittwoch versendet hatte. Um es abzukürzen: Die Mail war da, wird aber in gesendete Objekte nicht gefunden. Erst, wenn ich untergeordnete Ordner oder Alle Postfächer auswähle, wird sie gefunden. Ist natürlich Quatsch, die Mail liegt in gesendete Objekte. Am Index von Outlook lag es nicht, am Rechner auch nicht, das Problem besteht sogar in OWA und über Activesync/Android egal mit welcher Emailapp.
2. Activesync, vor allem das Versenden von Emails ist extrem zäh, teils wird durch manuelles Triggern dann mehrmals versendet (kommt super an beim Empfänger). Auch hier egal welche Mail App (Outlook, Stock Android Email, Gmail App). Da die Apps verschiedene Account Engines unter Android nutzen, kann es m.E. nur am Server liegen. In den Kontosettings steht auch mal "Synchronisationsfehler". Achja, natürlich habe ich verschiedene Internetverbindungen für die Tests verwendet (DAU Hürde zieht also nicht)

Was wird denn da gebastelt? Danke für jede Info - Mentos schrieb schon, lieber etwas proaktiver als durch Kunden initiiert ;-)