Artikel top billede

Hackere slog til via Outlook Web App: Kunne snage i følsomme data i månedsvis

Webadgangen til Microsofts Outlook blev udnyttet af it-kriminelle, der opsnappede virksomhedens adgangskoder og kunne snuse rundt i flere måneder uden at blive opdaget.

Microsofts Outlook Web App (OWA), der gør det muligt at tilgå Outlook fra en browser, er blevet udnyttet på det groveste af hackere.

Det skriver det amerikanske sikkerhedsfirma Cybereason i en analyse (PDF) af en Advanced Persistent Attack-metode, der retter sig mod Microsofts populære OWA.

Cybereason tager udgangspunkt i et konkret tilfælde, hvor en af virksomhedens kunder opdagede, at noget var på færde i it-miljøet:

"I dette tilfælde fik hackere fodfæste i et meget strategisk aktiv: OWA-serveren. OWA kræver næsten per definition af organisationer, at de definerer relativt lette restriktioner, og i dette tilfælde var OWA konfigureret på en måde, der gav adgang til serveren fra internettet," forklarer Cybereason.

"Dette gav hackerne mulighed for at etablere vedblivende kontrol over hele organisationens miljø i en periode på flere måneder uden at blive opdaget."

Cybereason forklarer, at angrebet fandt sted ved, at ondsindet kode blev installeret på OWA-serveren. 

Fik oplysningerne i klar tekst

Med koden på serveren kunne hackerne begynde at opsnappe blandt andet login-oplysninger fra en lang række brugere, der så siden kunne anvendes i det videre forsøg på at stjæle data uden at blive opdaget.

"... fordi OWA-autentificeringen er baseret på domæne-loginoplysninger, bliver den, der opnår adgang til OWA-serveren, ejer af hele organisationens domæne-logins."

Hackerne installerede filen OWAAUTH.dll, som OWA brugte som en del af login-mekanismen, forklarer Cybereason, der videre kan fortælle, at hackerne også installerede et ISAPI-filter på ISS-serveren.

"Dette gjorde hackerne i stand til at få alle forespørgsler i klar tekst efter SSL/TLS dekryptering."

Cybereason påpeger, at mens de fleste sikkerhedsfolk forstår, hvor følsomme data på A/D-serveren er, så skal man være opmærksom på, at en OWA-server kan indeholde præcis de samme følsomme data.

Det fremgår ikke af Cybereasons rapport, hvor alvorlig truslen mod OWA generelt er - selvom det konkrete angreb altså i sig selv var ganske alvorligt for den ramte virksomhed.

Læs også:

Slut med at vedhæfte filer til emails: Her er Microsofts nye løsning

Microsoft er på vej med den næste Exchange-server: Her er de store nyheder




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Fiftytwo A/S
Konsulentydelser og branchespecifikke softwareløsninger til retail, e-Commerce, leasing og mediebranchen.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
BI Excellence Day 2025

Kom og få indsigt i, hvordan du kan arbejde målrettet og struktureret med BI, så din virksomhed bliver i stand til at tage hurtige og datadrevne beslutninger, der understøtter din virksomheds strategi. Netværk og del erfaringer med ligesindede og mød eksperter, der kan give viden om de nyeste tendenser, og hvordan du gør brug af disse uden at gå på kompromis med compliance.

30. april 2025 | Læs mere


Cyber Briefing: Geopolitik og cloud

Private vs. public cloud - hybride løsninger der sikrer kritiske data. Overvejer din organisation at vende de amerikanske cloud-giganter i ryggen set i lyset af den geopolitiske situation? Vi dykker ned i en dugfrisk rapport og diskuterer mulighederne for en "Plan B".

05. maj 2025 | Læs mere


Virksomhedsplatforme i forandring: Hvordan navigerer du i den teknologiske udvikling?

Hvordan finder du balancen mellem cloud- og hybride løsninger? Hvordan integrerer du legacy-applikationer ind i dit nye ERP-setup? Hvordan undgår du at havne i statistikken over store ERP-projekter, der fejler eller overskrider budgetterne?

06. maj 2025 | Læs mere






White paper
Tidsbegrænset kampagne: Overvejer du at udskifte eller tilføje printere i din forretning? Vi kan tilbyde én eller flere maskiner gratis