Od dawna się tego spodziewaliśmy i zalecaliśmy klientom rygorystyczne blokowanie również nieznanego ruchu IMAP, POP i SMTP. Teraz w serwisie Github opublikowano rootkit, który wykorzystuje właśnie tę lukę w zabezpieczeniach.
Krótka analiza kodu wykazała, że protokoły IMAP i SMTP z szyfrowaniem SSL służą do pobierania wiadomości ze skrzynki pocztowej i odbierania komunikatów zakodowanych w BASE64, a w przyszłości mają umożliwiać także wymianę plików.
Obecnie opublikowany kod potrafi:
- Trwale zagnieżdżać się w systemie (jako klient pocztowy napisany w Pythonie)
- Przesyłać pliki
- Zmieniać katalogi
- Odczytywać informacje o systemie
- Wysyłać do systemu dowolne polecenia i odsyłać wyniki ich wykonania.
Zapraszamy do kontaktu w sprawie wzmocnienia zabezpieczeń systemu. Pomożemy również w migracji do Exchange lub Office365, aby całkowicie zamknąć tę drogę ataku.