Ciao a tutti, sono Federico Salis. Quando si verifica una falla di questa portata su Microsoft Exchange, la tempestività nell’isolare la minaccia è fondamentale. In questa guida analizziamo come individuare le tracce dell’attacco e le procedure da seguire per mettere in sicurezza i server della tua organizzazione.

Come verificare ed eliminare la vulnerabilità

Livello Facile 🟢: Azioni immediate di mitigazione sugli account

Se gestisci un’infrastruttura con Microsoft Exchange, effettua subito questi passaggi di controllo di base:

• Forza il cambio password per tutti gli account amministrativi e per gli utenti con privilegi elevati accedendo a Centro di amministrazione di Active Directory > Utenti.
• Verifica l’attivazione dell’autenticazione a più fattori per l’accesso web seguendo il percorso Interfaccia di amministrazione di Exchange > Criteri di autenticazione.
• Termina tutte le sessioni attive su OWA ed impone la riconnessione a tutti gli utenti.

Livello Medio 🟡: Analisi dei log di sistema e aggiornamento delle patch

Gli aggressori tendono a nascondere la propria presenza nei componenti web del server Exchange. Ecco come effettuare un controllo approfondito:

• Scarica ed esegui lo script di diagnostica ufficiale Microsoft HealthChecker.ps1 per rilevare lo stato di aggiornamento del server e la presenza di vulnerabilità note.
• Esamina i log del server web IIS situati nel percorso C:\inetpub\logs\LogFiles cercando richieste HTTP anomale dirette verso le cartelle /owa/ o /ecp/.
• Verifica l’assenza di file sospetti o modificati di recente all’interno della directory C:\Program Files\Microsoft\Exchange Server\V15\ClientAccess\Owa.

Livello Avanzato 🔴: Ricerca della persistenza tramite PowerShell

Per identificare eventuali backdoor, regole di inoltro malevole o moduli IIS non autorizzati installati dagli hacker, apri la Exchange Management Shell ed esegui i comandi dedicati.

1. Verifica se sono state create regole di posta nascoste per inoltrare la posta all’esterno:

Get-Mailbox | Get-InboxRule | Where-Object {$_.ForwardTo -ne $null -or $_.ForwardAsAttachmentTo -ne $null} | Select-Object MailboxOwnerId, Name, ForwardTo

2. Controlla se sono stati registrati moduli IIS sospetti che permettono il controllo remoto:

Get-WebGlobalModule

3. Cerca file web shell (.aspx) creati di recente nelle cartelle di Exchange:

Get-ChildItem -Path "C:\Program Files\Microsoft\Exchange Server\V15\ClientAccess\" -Recurse -Include *.aspx,*.ashx | Where-Object {$_.LastWriteTime -gt (Get-Date).AddDays(-30)}