Op internet zijn duizenden Exchange-servers te vinden die al voor het installeren van beveiligingsupdates door aanvallers zijn besmet met malware. Doordat de machines inmiddels up-to-date zijn kunnen organisaties een vals gevoel van veiligheid hebben en denken dat ze zijn beschermd, zo stelt Brandon Wales, hoofd van het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security.

De kwetsbaarheden in Exchange maken het mogelijk voor aanvallers om kwetsbare servers op afstand over te nemen en daarvandaan bijvoorbeeld andere systemen in het bedrijfsnetwerk aan te vallen. Microsoft rolde op 2 maart noodpatches voor de kwetsbaarheden uit. Die werden echter al voor het uitkomen van de updates misbruikt. Volgens Wales zijn er verbeteringen zichtbaar als het om de uitrol van patches gaat maar is er nog veel werk aan de winkel.

"We willen dat organisaties gaan onderzoeken of ze zijn gecompromitteerd. Patchen is niet voldoende", aldus Wales tijdens een lezing voor het Auburn University’s McCrary Institute for Cyber and Critical Infrastructure Security. Wanneer een aanvaller al voor de installatie van updates toegang tot de server heeft gekregen kan die een webshell installeren en zo toegang tot de machine behouden, ook al worden de updates vervolgens geïnstalleerd.

"Helaas weten we van bedrijven die scans uitvoeren naar kwetsbare en gecompromitteerde Exchange-servers dat er letterlijk duizenden gecompromitteerde servers zijn die op het moment zijn gepatcht. En deze eigenaren kunnen denken dat ze zijn beschermd, maar dat is niet het geval", merkte de CISA-directeur op. Hij deed dan ook nogmaals een oproep om naar signalen van mogelijk gecompromitteerde servers te kijken.