厍浩文

不久前，微软发布了紧急补丁，以解决Exchange Server中此前未公开的4个安全漏洞。据称，一些威胁行为者正在积极利用这些漏洞，以期进行数据盗窃。

微软威胁情报中心（Microsoft Threat Intelligence Center，MSTIC）将攻击描述为“有限的和有针对性的”，攻击者利用这些漏洞访问了本地Exchange服务器，进而授予了对电子邮件帐户的访问权限，并为安装其他恶意软件做好了铺垫，以方便长期访问受害者环境。

这家科技巨头最初将此次活动高度自信地归因于一个被称为铪（HAFNIUM）的威胁者，当然不排除其他组织也可能参与其中的可能性。

Microsoft首次讨论该团体的策略、技术和程序（TTP），将HAFNIUM描绘为“技术高超和较为熟练的攻击者”，主要针对美国一系列行业中的实体企业，以从中泄露敏感信息，包括传染病研究人员、律师事务所、高等教育机构、国防承包商，政策智囊团和非政府组织。

HAFNIUM通过利用美国租用的虚拟私人服务器来策划其攻击，以掩盖其恶意活动。

攻击分为3个阶段，其中包括使用密码被盗或通过使用以前未发现的漏洞来访问Exchange服务器，然后部署Web Shell来远程控制受感染的服务器。攻击链中的最后一个链接利用远程访问从组织网络中窃取邮箱，并将收集到的数据导出到文件共享站点（例如MEGA）。

为了实现这一目标，Volexity和Dubex的研究人员发现了多达4个0day漏洞，它们被用作攻击链的一部分：

CVE-2021-26855：Exchange Server中的服务器端请求伪造（SSRF）漏洞；

CVE-2021-26857：统一消息服务中的不安全反序列化漏洞；

CVE-2021-26858：Exchange的身份验证后，任意文件寫入漏洞；

CVE-2021-27065：Exchange的身份验证后，任意文件写入漏洞。……