Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 15 Marzo 2023 11:54
Microsoft ha corretto una vulnerabilità zero-day presente su Outlook (CVE-2023-23397) che è stata sfruttata da un gruppo di hacker collegato al servizio di intelligence militare russo GRU per prendere di mira le organizzazioni europee.
La vulnerabilità di sicurezza è stata sfruttata in attacchi per prendere di mira e violare le reti di 15 organizzazioni governative, militari, energetiche e dei trasporti tra metà aprile e dicembre 2022.
Il gruppo di hacker nazionali Fancy Bear (APT28, STRONTIUM, Sednit, Sofacy) ha inviato mail di spam su Outlook tramite richieste di negoziazione NTLM, costringendo i dispositivi degli obiettivi ad autenticarsi nelle condivisioni SMB controllate dagli aggressori.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Le credenziali rubate sono state utilizzate per effettuare dei movimenti laterali all’interno delle reti delle vittime e per modificare i permessi della cartella della casella di posta di Outlook, una tattica che consente l’esfiltrazione della posta elettronica per account specifici.
Microsoft ha condiviso queste informazioni in un report di analisi delle minacce che è stato analizzato da BleepingComputer e disponibile per i clienti con abbonamenti a Microsoft 365 Defender, Microsoft Defender for Business o Microsoft Defender per Endpoint Plan 2.
La vulnerabilità (CVE-2023-23397) è stata segnalata dal CERT-UA (il Computer Emergency Response Team for Ukraine) ed è una falla di sicurezza critica che consente l’elevazione dei privilegi di Outlook sfruttabile senza l’interazione dell’utente in attacchi a bassa complessità.
Gli attori delle minacce possono sfruttarlo inviando messaggi con proprietà MAPI estese contenenti percorsi UNC a una condivisione SMB (sulla porta TCP 445) sotto il loro controllo.
“L’attaccante potrebbe sfruttare questa vulnerabilità inviando un’e-mail appositamente predisposta che si attiva automaticamente quando viene recuperata ed elaborata dal client Outlook. Ciò potrebbe portare allo sfruttamento prima che l’e-mail venga visualizzata nel riquadro di anteprima”, afferma Microsoft.
“La connessione al server SMB remoto invia il messaggio di negoziazione NTLM dell’utente, che l’attaccante può quindi inoltrare per l’autenticazione contro altri sistemi che supportano l’autenticazione NTLM”, spiega Redmond aggiunto in un post sul blog separato.
Il CVE-2023-23397 ha effetto su tutte le versioni supportate di Microsoft Outlook per Windows, ma non su quelle di Outlook per Android, iOS o macOS.
Inoltre, poiché i servizi online come Outlook Web e Microsoft 365 non supportano l’autenticazione NTLM, non sono vulnerabili agli attacchi che sfruttano questa vulnerabilità di inoltro NTLM.
RedazioneMicrosoft ha rilasciato un aggiornamento di sicurezza critico per risolvere il CVE-2025-29810, una vulnerabilità di elevazione dei privilegi che colpisce Active Directory Domain Services (AD DS)....
Se ti violano la password, cambi la password. Se ti violano l’impronta digitale, non puoi cambiare il dito. Fatta questa doverosa premessa, l’autenticazione biometrica sta sostituendo at...
E’ stata scoperta una nuova falla di sicurezza che affligge i Servizi di Desktop remoto di Microsoft Windows che potrebbe consentire agli aggressori di eseguire codice arbitrario in remoto sui ...
Microsoft Threat Intelligence ha rivelato lo sfruttamento attivo di una vulnerabilità zero-day nel Common Log File System (CLFS) di Windows, identificata come CVE-2025-29824. L’exploit, ut...
Fortinet ha rilasciato un avviso di sicurezza per risolvere una vulnerabilità critica nei prodotti FortiSwitch. La vulnerabilità, identificata come CVE-2024-48887 (CVSS 9.3), potrebbe consen...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
