Vi har länge väntat på detta och rekommenderat våra kunder att konsekvent blockera även okänd IMAP-, POP- och SMTP-trafik. Nu har ett rootkit som utnyttjar just denna säkerhetslucka publicerats på Github.
En snabb kodanalys visar att IMAP och SMTP via SSL används för att hämta e-post från en brevlåda och ta emot BASE64-kodade meddelanden samt, i framtiden, även utbyta filer på samma sätt.
Den publicerade koden kan för närvarande:
- Etablera sig permanent i systemet (som en e-postklient i Python)
- Överföra filer
- Byta katalog
- Läsa ut systeminformation
- Skicka godtyckliga kommandon till systemet och skicka tillbaka resultaten.
Kontakta oss gärna för att få hjälp med att härda systemet. Vi hjälper er även med övergången till Exchange eller Office365 för att helt stänga denna angreppsväg.