Servidores Microsoft Exchange sob Ataque
25 de Junho de 2025

Agentes de ameaça não identificados foram observados mirando em servidores Microsoft Exchange expostos publicamente para injetar código malicioso nas páginas de login que capturam suas credenciais.

A Positive Technologies, em uma nova análise publicada na última semana, disse que identificou dois tipos diferentes de código keylogger escritos em JavaScript na página de login do Outlook:

- Aqueles que salvam os dados coletados em um arquivo local acessível pela internet
- Aqueles que imediatamente enviam os dados coletados para um servidor externo

O fornecedor russo de cibersegurança disse que os ataques visaram 65 vítimas em 26 países ao redor do mundo e marca a continuação de uma campanha que foi documentada pela primeira vez em maio de 2024 como direcionada a entidades na África e no Oriente Médio.

Naquela época, a empresa disse que havia detectado pelo menos 30 vítimas abrangendo agências governamentais, bancos, empresas de TI e instituições educacionais, com evidência do primeiro comprometimento remontando a 2021.

As cadeias de ataque envolvem a exploração de falhas conhecidas no Microsoft Exchange Server (por exemplo, ProxyShell) para inserir código keylogger na página de login.

Atualmente, não se sabe quem está por trás desses ataques.

Algumas das vulnerabilidades armadas estão listadas abaixo:

- CVE-2014-4078 - Vulnerabilidade de Bypass de Recurso de Segurança do IIS
- CVE-2020-0796 - Vulnerabilidade de Execução Remota de Código Cliente/Servidor Windows SMBv3
- CVE-2021-26857 , CVE-2021-26858 , CVE-2021-27065 , CVE-2021-27078. Essa descrição em Português do Brasil ficaria assim: Vulnerabilidade de Execução Remota de Código no Microsoft Exchange Server. Este ID de CVE é único em relação às outras vulnerabilidades conhecidas como CVE-2021-26412, CVE-2021-26854, CVE-2021-26857 , CVE-2021-26858 , CVE-2021-27065 , CVE-2021-27078.

"> CVE-2021-26855 , CVE-2021-26857 , CVE-2021-26858 e CVE-2021-27065 - Vulnerabilidade de Execução Remota de Código do Microsoft Exchange Server (ProxyLogon)
- CVE-2021-31206 - Vulnerabilidade de Execução Remota de Código do Microsoft Exchange Server
- CVE-2021-31207 , CVE-2021-34473 , CVE-2021-34523 - Vulnerabilidade de Bypass de Recurso de Segurança do Microsoft Exchange Server (ProxyShell)

"O código JavaScript malicioso lê e processa os dados do formulário de autenticação, em seguida, os envia via uma solicitação XHR para uma página específica no servidor Exchange comprometido", disseram os pesquisadores de segurança Klimentiy Galkin e Maxim Suslov.

O código fonte da página alvo contém uma função manipuladora que lê a solicitação recebida e grava os dados em um arquivo no servidor. O arquivo contendo os dados roubados é acessível de uma rede externa.

Variantes selecionadas com a capacidade de keylogging local foram encontradas também coletando cookies de usuários, strings de User-Agent e o timestamp.

Uma vantagem dessa abordagem é que as chances de detecção são quase nulas, já que não há tráfego de saída para transmitir a informação.

A segunda variante detectada pela Positive Technologies, por outro lado, usa um bot de Telegram como ponto de exfiltração via solicitações XHR GET com o login codificado e a senha armazenados nos cabeçalhos APIKey e AuthToken, respectivamente.

Um segundo método envolve o uso de um túnel do Sistema de Nomes de Domínio (DNS) em conjunto com uma solicitação POST HTTPS para enviar as credenciais do usuário e se esquivar das defesas de uma organização.

Vinte e dois dos servidores comprometidos foram encontrados em organizações governamentais, seguidos por infecções em empresas de TI, indústrias e logística.

Vietnã, Rússia, Taiwan, China, Paquistão, Líbano, Austrália, Zâmbia, Holanda e Turquia estão entre os 10 principais alvos.

"Um grande número de servidores Microsoft Exchange acessíveis pela Internet permanece vulnerável a vulnerabilidades mais antigas", disseram os pesquisadores.

Ao embutir código malicioso em páginas legítimas de autenticação, os atacantes conseguem permanecer não detectados por longos períodos enquanto capturam credenciais de usuário em texto simples.

Publicidade

Proteja sua navegação com a VPN nº 1

Mantenha seus dados longe de hackers e ameaças digitais com a NordVPN, uma das mais rápidas e seguras do mundo. Com tecnologia de criptografia avançada, você protege até 10 dispositivos e ainda conta com recursos poderosos como bloqueio de malware, monitoramento da dark web e backup criptografado. Aproveite até 70% de desconto e experimente com garantia de reembolso de 30 dias. Segurança digital nunca foi tão fácil e eficiente. Saiba mais...