Un pericoloso 0-day su Outlook utilizzato dagli hacker di Fancy Bear è stato fixato

Redazione RHC : 15 Marzo 2023 11:54

Microsoft ha corretto una vulnerabilità zero-day presente su Outlook (CVE-2023-23397) che è stata sfruttata da un gruppo di hacker collegato al servizio di intelligence militare russo GRU per prendere di mira le organizzazioni europee.

La vulnerabilità di sicurezza è stata sfruttata in attacchi per prendere di mira e violare le reti di 15 organizzazioni governative, militari, energetiche e dei trasporti tra metà aprile e dicembre 2022.

Il gruppo di hacker nazionali Fancy Bear (APT28, STRONTIUM, Sednit, Sofacy) ha inviato mail di spam su Outlook tramite richieste di negoziazione NTLM, costringendo i dispositivi degli obiettivi ad autenticarsi nelle condivisioni SMB controllate dagli aggressori.

Prova Gratuitamente Business Log! L'Adaptive SOC italiano

Proteggi la tua azienda e ottimizza il tuo lavoro grazie al SOC di Business Log, il software leader per audit, log management e cybersicurezza realizzato in Italia. Business Log garantisce:

Conformità a NIS2, GDPR e ISO 27001

Analisi avanzata e prevenzione del dossieraggio

Semplice da installare, potente da usare

Scarica ora la versione di prova gratuita per 30 giorni e scopri come Business Log può rivoluzionare la tua gestione dei log e la sicurezza IT!

Le credenziali rubate sono state utilizzate per effettuare dei movimenti laterali all’interno delle reti delle vittime e per modificare i permessi della cartella della casella di posta di Outlook, una tattica che consente l’esfiltrazione della posta elettronica per account specifici.

Microsoft ha condiviso queste informazioni in un report di analisi delle minacce che è stato analizzato da BleepingComputer e disponibile per i clienti con abbonamenti a Microsoft 365 Defender, Microsoft Defender for Business o Microsoft Defender per Endpoint Plan 2.

La vulnerabilità (CVE-2023-23397) è stata segnalata dal CERT-UA (il Computer Emergency Response Team for Ukraine) ed è una falla di sicurezza critica che consente l’elevazione dei privilegi di Outlook sfruttabile senza l’interazione dell’utente in attacchi a bassa complessità.

Gli attori delle minacce possono sfruttarlo inviando messaggi con proprietà MAPI estese contenenti percorsi UNC a una condivisione SMB (sulla porta TCP 445) sotto il loro controllo.

“L’attaccante potrebbe sfruttare questa vulnerabilità inviando un’e-mail appositamente predisposta che si attiva automaticamente quando viene recuperata ed elaborata dal client Outlook. Ciò potrebbe portare allo sfruttamento prima che l’e-mail venga visualizzata nel riquadro di anteprima”, afferma Microsoft.

“La connessione al server SMB remoto invia il messaggio di negoziazione NTLM dell’utente, che l’attaccante può quindi inoltrare per l’autenticazione contro altri sistemi che supportano l’autenticazione NTLM”, spiega Redmond aggiunto in un post sul blog separato.

Il CVE-2023-23397 ha effetto su tutte le versioni supportate di Microsoft Outlook per Windows, ma non su quelle di Outlook per Android, iOS o macOS.

Inoltre, poiché i servizi online come Outlook Web e Microsoft 365 non supportano l’autenticazione NTLM, non sono vulnerabili agli attacchi che sfruttano questa vulnerabilità di inoltro NTLM.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.