Microsoft Exchange ProxyLogon (Hafnium)

Le 2 mars 2021, Microsoft a publié des correctifs d'urgence hors cycle pour quatre vulnérabilités jusque-là inconnues dans Exchange Server sur site et a attribué leur exploitation active à un groupe parrainé par l'État chinois qu'il a nommé Hafnium. La chaîne de vulnérabilités — collectivement connue sous le nom de ProxyLogon — permettait à un attaquant non authentifié de prendre le contrôle total d'un serveur Exchange exposé sur Internet, de lire toutes les boîtes aux lettres et d'implanter une porte dérobée persistante.

Les vulnérabilités

ProxyLogon était une chaîne d'exploitation reposant sur quatre CVE :

• CVE-2021-26855 — une faille de falsification de requête côté serveur (SSRF) permettant à un attaquant non authentifié d'envoyer des requêtes forgées et de s'authentifier en tant que serveur Exchange. C'était la pierre angulaire.
• CVE-2021-26857 — une faille de désérialisation non sécurisée dans le service Unified Messaging permettant l'exécution de code en tant que SYSTEM.
• CVE-2021-26858 et CVE-2021-27065 — des failles d'écriture de fichier arbitraire post-authentification qui, combinées à la SSRF, permettaient aux attaquants d'écrire un web shell n'importe où sur le serveur.

Enchaînées, ces failles transformaient un serveur Exchange accessible en un système entièrement contrôlé par l'attaquant, sans nécessiter d'identifiants valides.

Ce qui s'est passé

Les opérateurs de Hafnium ont exploité la chaîne pour déposer des web shells basés sur ASP (telles que les variantes largement suivies « China Chopper »), puis ont utilisé ce point d'ancrage pour extraire la mémoire de LSASS afin de récupérer des identifiants, exporter des boîtes aux lettres et compresser les données avec 7-Zip en vue de l'exfiltration. Microsoft a qualifié l'activité initiale de Hafnium de limitée et ciblée, axée sur les sous-traitants de la défense américains, les cabinets d'avocats, les établissements d'enseignement supérieur, les chercheurs sur les maladies infectieuses et les groupes de réflexion.

La catastrophe est venue après la divulgation. Une fois le correctif et les indicateurs publics, au moins dix groupes de menaces distincts ont rétro-conçu le correctif et lancé un scan de masse indiscriminé, se précipitant pour compromettre les serveurs non corrigés avant que les administrateurs ne puissent agir. En quelques jours, on estime que plus de 60 000 organisations dans le monde ont été compromises, beaucoup laissées avec des web shells persistants même après l'application du correctif, car celui-ci fermait la brèche mais ne supprimait pas les portes dérobées déjà implantées.

Réponse

• La CISA a émis la directive d'urgence 21-02 le 3 mars, ordonnant aux agences fédérales de corriger ou de déconnecter les serveurs affectés.
• Microsoft a publié un outil d'atténuation en un clic et un scanner de sécurité pour aider les petites organisations.
• Le 13 avril 2021, le DOJ américain a révélé une opération du FBI autorisée par la justice qui a proactivement retiré des web shells de centaines de serveurs américains compromis — un cas notable de remédiation directe de systèmes privés par les forces de l'ordre.
• La famille de rançongiciels DearCry a commencé à exploiter les mêmes failles en quelques jours, transformant une infrastructure d'espionnage en vecteur de rançongiciel.

Pourquoi c'est important

ProxyLogon est l'événement d'exploitation de masse déterminant de 2021 et une étude de cas classique de la dynamique du délai de correction : la fenêtre entre la divulgation publique et le déploiement du correctif est devenue une frénésie où l'information même destinée à protéger les défenseurs a armé des dizaines d'attaquants. Il a renforcé le consensus de l'industrie selon lequel l'infrastructure de messagerie exposée sur Internet est une cible de premier ordre, accéléré la migration d'Exchange sur site vers le cloud géré, et confirmé que le correctif seul est insuffisant — une fois un serveur compromis, les défenseurs doivent traquer et évincer la persistance que l'attaquant a déjà établie.