„Það er búið að hakka nánast alla hægri vinstri“

„Ef fyrirtækið þitt var með vefpóst, sína eigin Exchange þjónustu og hýsir þann hugbúnað sjálfur, þá er mjög líklega búið að hakka þig á einhverjum tímapunkti með þessum veikleika,“ segir Theódór Ragnar Gíslason, tæknistjóri netöryggisfyrirtækisins Syndis.

Upplýst var um það í byrjun mars að óprúttnir aðilar, með hugsanleg tengsl við kínversk stjórnvöld, hafi nýtt fjóra áður óþekkta Microsoft Exchange veikleika til að brjótast inn í allt að 60 þúsund tölvukerfi á heimsvísu. Mikil óvissa ríkir um umfang öryggisbrestsins.

Þá hafa fregnir borist af því að tölvuþrjótar keppist nú við notfæra sér seinfærni aðila sem hafi ekki enn uppfært hugbúnað sinn til að loka öryggisholunum. Greint frá því á miðvikudag að hakkarar hafi nýtt sér áðurnefnda veikleika til að brjótast inn í tölvukerfi norska þingsins og stela þaðan gögnum.

Alþingi og Stjórnarráðið ekki fundið ummerki um öryggisbrest

Microsoft Exchange póstþjóna má finna hjá fjölda íslenskra fyrirtækja og stofnana, þar á meðal hjá Alþingi og íslenskum ráðuneytum. Forsvarsmenn Umbru – þjónustumiðstöðvar Stjórnarráðsins og upplýsingatæknisviðs Alþingis hafa staðfest í samtali við Vísi að brugðist hafi verið við um leið og tilkynnt var um öryggisgallann. Þá hafi öryggisathuganir leitt í ljós að engin ummerki séu um innbrot eða öryggisbresti.

Fjölmargir auðveld bráð tölvuþrjóta

Theódór hjá netöryggisfyrirtækinu Syndis segir að um sé að ræða gríðarlega alvarlegan öryggisgalla sem samanstandi af nokkrum veikleikum sem hafi verið tengdir saman til að búa til „stórkostlega alvarlegan heildarveikleika.“

„Allir þeir sem hafa verið að keyra Exchange hugbúnaðinn og þeir sem eru ekki búnir að bregðast við voru og eru í rauninni auðveld bráð.“

„Veikleikinn og exploitinn er gefinn út áður en Microsoft bregst við með uppfærslu og ofan á það voru margir lengi að uppfæra sem eru herfileg mistök. Þannig að það er búið að hakka nánast alla hægri vinstri,“ segir Theódór.

Með exploit er átt við forrit sem sjálfvirknivæðir misnotkun á öryggisveikleikanum sem er þá hægt að dreifa svipað og tölvuvírus. Öryggisuppfærsla Microsoft var gefin út 2. mars en talið er að hakkarar hafi vitað af veikleiknum frá því í janúar.

Ein mesta hættan að settar séu upp bakdyr

„Þetta er auðvitað sérstaklega alvarlegt að þarna ertu ekki bara kominn inn í mjög viðkvæman hluta í netkerfum fyrirtækja og stofnana heldur ertu líka með alla tölvupósta á einu bretti. Þá ertu kominn í mjög ákjósanlega staðsetningu fyrir tölvuárásir og innbrot,“ segir Theódór.

Hann bætir við að þegar um er að ræða svo umfangsmikinn öryggisbrest sé sú hætta til staðar að aðilar sem komist inn í tölvukerfið skilji eftir bakdyr sem þeir geti nýtt til að fá aðgang að kerfinu síðar. Því sé ekki nóg að uppfæra í nýjustu útgáfu Microsoft Exchange hugbúnaðarins og láta þar við sitja.

„Ég held að það fyrsta sem fólk ætti að spyrja er voru þeir hakkaðir og leita þá að ummerkjum um það. Ef svarið er já þá þarf að komast að því hvað aðilarnir gerðu og hvort þeir skildu eftir sig bakdyr.“

Theódór segir það vera misjafnt hversu mikinn aðgang öryggisveikleikinn getur veitt tölvuþrjótum.

„Þegar þú ert að keyra Exchange hugbúnað í fyrirtæki þá hefur hann gríðarleg réttindi, ekki bara að tölvupósti allra starfsmanna, heldur hefur hann oft mikil og aukin réttindi á netkerfinu í gegnum Windows Active Directory sem er eins konar hjarta margra netkerfa.“

„Ef þú ert kominn svona nálægt hjartanu eða heilanum í netkerfinu þá er tiltölulega auðvelt að ná fullri stjórn á öllu, og þá meina ég öllu. Allt sem snertir það netkerfi, öll tæki og tól og allt sem við gerum á þeim svo það er hægt að misnota þetta á ótrúlega marga vegu.“

Langur tími geti liðið þar til heildarumfangið kemur í ljós

Hann segir það lykilatriði að fyrirtæki og stofnanir sem noti Microsoft Exchange grandskoði þá netþjóna sem um ræðir og skoði virkni eins langt aftur í tímann og skrár leyfa.

„Þú ert brjálaður ef þú gerir það ekki. Bara að setja inn einhverja öryggisuppfærslu frá Microsoft og fara í gengum einhver eitt til þrjú skref, það er ekki öruggt í mínum huga. Þú þarft að taka af þér þennan vafa um að einhver hafi sett inn eitthvað meinfýsið.“

Theódór telur líklegt að það muni líða nokkur tími þangað til heildarumfang öryggisbrestsins verði ljóst.

„Tilgangur þess að setja inn bakdyr á netkerfi er ekki endilega að nýta það í dag eða á morgun, heldur hugsanlega að nýta það eftir hálft ár eða lengur. Það kæmi mér ekki óvart að við myndum sjá einhverjar leifar af þessu marga mánuði fram í tímann, jafnvel ár.“