ProxyLogon: حدّث Exchange، ثم ابحث عن الـweb shells
أربع ثغرات غير معروفة في Exchange تُستغل على نطاق واسع. التحديث يغلق الباب لكنه لا يُخرج من دخل.
يوم الثلاثاء الماضي أصدرت Microsoft تحديثات طارئة لأربع ثغرات في Exchange Server تُعرف باسم ProxyLogon. كانت مجموعة مدعومة من دولة تستخدمها أولًا، والآن تفحص مجموعات كثيرة الإنترنت كله. وأُصيبت عشرات آلاف الخوادم.
الهجوم يزرع web shell، ملفًا صغيرًا يعطي المهاجم تحكمًا عن بعد، ويبقى بعد التحديث.
إن كنت تشغّل Exchange على خوادمك:
- حدّث الآن، أو طبّق إجراءات التخفيف المؤقتة من Microsoft إن لم تستطع فعلًا.
- شغّل سكربت الكشف والماسح من Microsoft للبحث عن web shells وعلامات الاستغلال.
- إن وجدت شيئًا، فتعامل معه كاختراق: ابحث عن حسابات جديدة، وبريد مسروق، وانتشار إلى خوادم أخرى.
- حدّد من يصل إلى Outlook على الويب من الإنترنت، مثلًا عبر VPN أو وسيط عكسي يتحقق من الهوية أولًا.
الإصدارات 2013 و2016 و2019 متأثرة، أما Exchange Online فلا.