Rackspace攻击中访问的个人存储表文件

Rackspace发布了去年12月一次勒索软件攻击的更多细节，该攻击导致其Hosted Exchange客户中断，并声称威胁者访问了可能包含电子邮件、联系人和其他详细信息的文件。

该公司在本月初受到Play变体的打击，迫使其暂时暂停其托管Exchange环境。

在上周的更新中，这家托管巨头表示，在攻击发生时，在使用该环境的3万名客户中，有27人的个人存储表(PST)数据被访问。

PST是微软程序用来存储包括电子邮件、日历事件和联系人在内的数据的文件。

然而，Rackspace也试图通过其IT取证合作伙伴CrowdStrike提供的信息来安抚这些受影响的客户。

它说：“我们已经主动向这些客户传达了我们的调查结果，重要的是，根据CrowdStrike的说法，没有证据表明威胁行为者实际上以任何方式查看、获取、滥用或传播了27家托管Exchange客户的PSTs中的任何一封电子邮件或数据。”

Rackspace团队没有直接联系的客户可以放心，他们的PST数据没有被威胁行为者访问。

该公司还透露，破坏其环境的Play附属公司的初始访问向量是零日漏洞CVE-2022-41080。微软在11月进行了修补，这是Exchange Server特权漏洞的升级。

CrowdStrike称，该漏洞与ProxyNotShell漏洞之一(CVE-2022-41082)一起被利用，通过Outlook Web Access (OWA)实现远程代码执行。

它解释道：“新的攻击方法绕过了微软为响应ProxyNotShell而提供的自动发现端点的URL重写缓解措施。”

Rackspace引用这项研究称，之前的报告认为ProxyNotShell本身是事件的根本原因，因此是不准确的。

该公司表示:“微软披露了CVE-2022-41080是一个特权升级漏洞，并且没有将其列为可被利用的远程代码执行链的一部分。”