FBI verwijdert ongevraagd bestanden van geïnfecteerde Exchange-servers

Het Amerikaanse ministerie van Justitie maakte gisteren bekend dat de FBI toestemming heeft gekregen voor die actie, meldt ZDNet. Volgens de verklaring van het ministerie was de actie nodig omdat de beheerders van die servers dat zelf niet konden of in ieder geval niet deden. Daardoor ontstond een situatie waarbij criminelen zich langdurig ongeoorloofd toegang konden verschaffen tot Amerikaanse (bedrijfs)netwerken.

Oorzaak probleem niet weg

De cybersecurityagenten van de FBI hebben alleen de web shells verwijderd, maar niet de door Microsoft uitgegeven patch aangebracht. Ook is geen andere malware verwijderd die criminelen mogelijk hebben achtergelaten. De FBI kon alleen de web shells verwijderen.

Elke shell heeft een uniek bestandspad en daardoor was het voor sommige beheerders van Exchange-servers lastig om de bestanden te vinden en te verwijderen. Volgens de verklaring was eind maart bij het ministerie bekend dat er nog honderden shells op Amerikaanse servers benaderbaar waren.

Mailmelding van de FBI

Nu de actie voorbij is, is de FBI begonnen de beheerders van de betrokken Exchange-servers te informeren over de actie. Dat kan alleen als de organisaties publiek toegankelijke contactinformatie op de website hebben staan. Lukt het niet de organisaties direct te bereiken, dan probeert de FBI ze te benaderen via hun internetaanbieder.