Angreifer attackieren Microsoft Exchange Server

[mentos]

In den letzten 24 Stunden hat der Outlook Client mit einem Popup Fenster zweimal einen Neustart gewünscht, weil (sinngemäßes Zitat) "Der Exchange Administrator Änderungen am Server vorgenommen hat". Es gab und gibt keine Nachricht dazu auf "https://status.df.eu/" und auch sonst keine Kommunikation die uns als Firma erreicht hätte. Fangt bitte an mit uns Kunden aktiv zu sprechen und zu erklären was gerade passiert.

[mentos]

Danke, Nils.

Und ich würde mir in Zukunft proaktive Information dazu wünschen. Wenn es eine Bedrohung gibt, könnte nach dem Einspielen der Patches der aktuelle Stand an alle Kunden die das Produkt gekauft haben eine entsprechende Email gehen. Ich habe eigentlich anderes zu tun und möchte nicht im Forum nachfragen müssen ob unsere Firmendaten sicher sind.

Jürgen Hoffmann

[drSoniX]

Das ist eine positive Rückmeldung - vielen Dank dafür!

👍👍👍👍👍

Gruß

[Nils Dornblut]

Hallo zusammen,

wir haben den Patch direkt am Mittwochmorgen, also vor knapp einer Woche, auf unseren Frontend-Servern (OWA) eingespielt. Dies direkt und schnellstmöglich nachdem wir von der Problematik Kenntnis genommen haben. Im Laufe der folgenden beiden Tage erfolgte die Einspielung auch auf den restlichen Backend-Servern.

Auch habe wir natürlich die von Microsoft bereitgestellten Tools/Skripte auf unseren Servern ausgeführt. Hierbei wurden keine bedenklichen Dateien gefunden und bisher konnten wir auch sonst keine verdächtigen Anzeichen finden. Aktuell gehen wir daher nicht davon aus, dass sich jemand Zugriff zu unseren Servern verschafft hat.

Es ist aber auch weiterhin ein Security Incident offen, in dem das Thema behandelt und weiter beobachtet wird.

Mit freundlichen Grüßen

Nils Dornblut

[drSoniX]

Habe mich extra wegen diesem Mist heute wieder registriert. War schon vorher im alten Forum unterwegs.

Mail an den Support oder seinen persönlichen Ansprechpartner sollte zielführender sein

Klar kann ich machen.
Ich bekomme dann eine Antwort.

[wsp]

Mail an den Support oder seinen persönlichen Ansprechpartner sollte zielführender sein

Wieso? Sehe ich nicht so!
Die Antwort ist 1. von allgemeinem grossem Interesse und 2. hat Nils hier bereits weiter oben am 7.3. bestätigt, dass Infos folgen werden...

[[headcrash]]

Mail an den Support oder seinen persönlichen Ansprechpartner sollte zielführender sein

[ZZZTW2A]

Ich brauche dazu auch dringend eine Aussage, weil dazu auch Kunden Anfragen und man als Reseller eine Antwort schuldig ist. Die Kunden müssen ggf. Maßnahmen ergreifen, wenn das Exchange-System möglicherweise kompromittiert wurde.

[drSoniX]

Mich würde es auch interessieren - wie sieht es bei DF aus?

[mentos]

@headcrash Leider gibt es aber auch sonst keine Informationen dazu. Ich habe nix auf der Homepage gefunden und auch sonst keine Kommunikation von df dazu gelesen.

[[headcrash]]

Glaube nicht, dass das Forum der richtige Kanal für diese Art von Informationen ist.

[Kukulkan]

Hallo. Wie ist der Stand hier? Ist die DF auch betroffen? Und damit auch bei Euch gehostete Exchange-Konten?

[Nils Dornblut]

Hallo Herr Hoffmann,

uns sind diese Meldungen bekannt. Weitere Details sind mir nicht bekannt. Ich frage jedoch einmal genauer nach und wir melden uns dann.

Mit freundlichen Grüßen

Nils Dornblut

[mentos]

https://www.heise.de/news/Jetzt-patchen-Angreifer-attackieren-Microsoft-Exchange-Server-5070309.html

Zitat von heise.de: Für die folgenden verwundbaren Exchange-Server-Versionen haben die Entwickler abgesicherte Ausgaben veröffentlicht:

• Exchange Server 2010 (RU 31 for Service Pack 3)
• Exchange Server 2013 (CU 23)
• Exchange Server 2016 (CU 19, CU 18)
• Exchange Server 2019 (CU 8, CU 7)

Damit Admins ihre installierten Exchange-Server-Versionen zügig prüfen können, stellt Microsoft ein Skript zum Download bereit. Mit den Sicherheitsupdates schließen die Entwickler noch drei weitere Schwachstellen (CVE-2021-26412, CVE-2021-26858, CVE-2021-27078), auf die es derzeit aber keine Angreifer abgesehen haben sollen.

Sind die Exchange Server schon gepacht? Gab es Einbrüche? Im Heise Artikel wird ja auch auf Informationen verwiesen woran man erkennen kann ob die Daten schon kompromitiert wurden.

Jürgen Hoffmann