Según los investigadores de Palo Alto, cuando se hacen públicas vulnerabilidades críticas de un software ampliamente adoptado, se puede desencadenar una carrera entre atacantes y administradores de TI. Los primeros para encontrar objetivos adecuados, "especialmente cuando el código de prueba de concepto (PoC) está disponible o el error parece fácil de explotar". Y, por su parte, y el personal de TI para realizar evaluaciones de riesgo e implementar los parches necesarios. 

El informe señala que, en particular, cuando hablamos de vulnerabilidades de día cero o zero-day se registra de media que tan solo 15 minutos después de conocerse el problema, hay atacantes que ya cuentan con un escaneo general de cómo está la situación.

Sin embargo, los investigadores de Palo Alto afirman que los atacantes "trabajaron más rápido" al tratarse de Microsoft Exchange, y los escaneos se lograron en apenas cinco minutos.

Un ataque que sigue dando que hablar

En marzo Microsoft alertó de que hackers de China aprovecharon un fallo en su sistema Exchange Server, destinado a empresas, para poder acceder a sus mails, a listas de contactos y que también pudieron instalar malware.

Según informaciones aportadas por Microsoft, Hafnium se dirige principalmente a entidades de Estados Unidos (pero también de otros países) con el fin de acceder a información de diversos sectores industriales, como investigadores de enfermedades infecciosas, bufetes de abogados, instituciones de enseñanza superior, contratistas de defensa, grupos de reflexión política y ONG. 

Aunque Hafnium tiene su sede en China, lleva a cabo sus operaciones principalmente desde servidores virtuales privados (VPS) alquilados en Estados Unidos. Hace unos días, Cisco Talos descubrió que hay un ataque que podría estar aprovechándose de las debilidades de Windows Exchange Server desde el pasado mes de abril.

Lemon Duck, que es un botnet que ya había sido descubierto en el mes de marzo aprovechándose de servidores vulnerables y utilizando estos sistemas para minar criptomonedas (técnica conocida también como cryptojacking).

• https://blog.talosintelligence.com/2021/05/lemon-duck-spreads-wings.html

Fuentes:

https://www.genbeta.com/actualidad/solo-cinco-minutos-tardaron-unos-ciberdelincuentes-escanear-posibles-objetivos-anunciarse-vulnerabilidad-exchange-server