在 3 月 2 日、9 日 Microsoft Exchange 漏洞被揭露以及緊急發布專屬安全修補程式之後，越來越多的攻擊者正在利用這些漏洞發起攻擊。Sophos 先前就披露過 DearCry 和 Black Kingdom 等勒索軟體造成的攻擊。
Sophos 再次發表新的研究成果，《遭駭的 Exchange Server 上被植入惡意加密挖礦程式並攻擊其他 Exchange 伺服器》，詳細介紹合法開源門羅幣挖礦程式 xmr-stak 的變種，已被安裝在遭駭客入侵的 Exchange Server 上，並用於鎖定其他尚未針對 ProxyLogon 漏洞進行修補的 Exchange Server。
攻擊幕後者者將該新變種命名為「QuickCPU」，以讓受害者誤認為它是合法的開源 CPU 最佳化工具 Quick CPU (但其實毫不相關)。
Sophos 首席威脅研究人員 Andrew Brandt 表示：「儘管利用 ProxyLogon Exchange 漏洞的攻擊花了一週左右的時間才出現，但惡意加密挖礦程式可沒這麼有耐心。在漏洞被揭露，安全更新發佈後的數小時內，駭客就攻擊了尚未更新的伺服器。不意外的，QuickCPU 是 xmr-stak 門羅幣加密挖礦程式的變種，我們的分析顯示 3 月 9 日時，挖礦的金流流向攻擊者的門羅幣錢包，此後攻擊規模迅速縮減。這表示我們面對的是另一種快速編譯、採機會主義和可能是實驗性的攻擊，試圖在各界普遍修補漏洞之前賺點快錢。
「這種攻擊與眾不同的原因，是操作者會在已經被感染的 Exchange Server 上安裝惡意加密挖礦程式，然後將該 Exchange Server 當成跳板，將惡意挖礦程式傳播到其他受感染的伺服器。攻擊者使用了一連串標準反偵測技術，包括將惡意挖礦程式安裝在記憶體中以躲避安全掃描，使用後刪除安裝和設定檔，並使用傳輸層安全性協定加密的流量與他們的門羅幣錢包通訊。結果，大多數電腦遭駭的第一個跡象多半是處理能力顯著下降。尚未修補的伺服器可能會被入侵一段很長的時間，然後才發現問題。
「安全部門應緊急安裝 Microsoft 修補程式，以防止 Exchange Server 遭到濫用。但僅靠修補是不夠的，企業還需要找出並解決更多不安全的弱點和漏洞，以防日後遭到攻擊。例如，系統管理員應在 Exchange 服器上掃描後門命令介面 (Web Shell)，並監控伺服器上是否有不知從何而來的異常處理序。陌生處理序的 CPU 使用率高，很可能就是惡意加密挖礦或勒索軟體的跡象。如果無法做到這一點，那麼請密切監視伺服器，直到將 Exchange 資料移轉到其他已經更新的伺服器上，然後中斷該未安裝修補程式的伺服器與網際網路的連線。」
Sophos Intercept X 和 Sophos Intercept X with EDR 可以防範試圖利用 ProxyLogon Exchange 漏洞的威脅。
詳細瞭解 Sophos 對加密挖礦程式和其他鎖定 ProxyLogon 漏洞的威脅的分析結果，請瀏覽 SophosLabs Uncut。