Güvenlik araştırmacıları, bilgisayar korsanlarının sadece bir e-posta alarak karma şifreleri uzaktan çalmasına izin veren Windows için (CVE-2023-23397) kritik bir Microsoft Outlook güvenlik açığından yararlanmak için teknik ayrıntıları paylaştılar.
Microsoft dün güvenlik kusuru için bir yama yayınladı, ancak en azından Nisan ortası 2022'den bu yana NTLM-Relay saldırılarında sıfır günlük bir güvenlik açığı olarak yararlandı.
Sorun, Microsoft Outlook'un Windows'taki tüm sürümlerini etkileyen 9.8 önem derecesine sahip bir ayrıcalık artış güvenlik açığıdır.
Bir saldırgan, hedefe kötü niyetli bir e -posta göndererek NTLM kimlik bilgilerini çalmak için kullanabilir. Outlook açık olduğunda ve sistemde hatırlatma tetiklendiğinde kullanıcı etkileşimi gerekmez.
Windows New Technology LAN Manager (NTLM), Hashed oturum açma kimlik bilgilerini kullanarak Windows alanlarına giriş yapmak için kullanılan bir kimlik doğrulama yöntemidir.
NTLM kimlik doğrulaması bilinen risklerle birlikte gelse de, hala eski sistemlerle uyumluluk için yeni sistemlerde kullanılmaktadır.
Sunucunun SMB hisseleri gibi paylaşılan bir kaynağa erişmeye çalıştığında sunucunun bir istemciden aldığı şifre karmalarıyla çalışır. Çalınırsa, bu karmalar ağda kimlik doğrulaması için kullanılabilir.
Microsoft, bir saldırganın NTLM karmalarını elde etmek için CVE-2023-23397'yi kullanabileceğini açıkladı.
“Uzak SMB sunucusuna bağlantı, kullanıcının NTLM müzakere mesajını gönderir, bu da saldırganın NTLM kimlik doğrulamasını destekleyen diğer sistemlere karşı kimlik doğrulaması için aktarabileceği” - Microsoft
Bununla birlikte, sorunu kullanmak, Microsoft'un güvenlik danışmanlığı şirketi MDSEC'deki araştırmacıların düzeltmesini yayınladıktan kısa bir süre sonra daha fazla teknik ayrıntı gerektirir.
Microsoft'tan CVE-2023-23397'yi kullanarak kullanma eşyalarını kullanma eşyalarını kontrol eden bir komut dosyasını inceledikten sonra, MDSEC’in kırmızı ekip üyesi Dominic Chell, bir tehdit oyuncusunun hatayı ne kadar kolay kullanabileceğini keşfetti.
Komut dosyasının alınan posta öğelerinin içindeki “PidlidreminderFileparameter” özelliğini arayabileceğini ve mevcut olduğunda kaldırabileceğini buldu.
Chell, bu özelliğin gönderenin mesaj hatırlatıcısı tetiklendiğinde Outlook istemcisinin oynaması gereken dosya adını tanımlamasına izin verdiğini açıklar.
Bunun mümkün olmasının nedeni, bir e -postanın göndereninin alıcının sistemindeki yeni mesaj uyarısı için sesi yapılandıramaması gerektiğinden, araştırmacının heceleyemediği bir bulmaca olmaya devam ediyor.
Chell, mülk bir dosya adını kabul ederse, NTLM kimlik doğrulamasını tetiklemek için bir UNC yolu eklemenin de mümkün olması gerektiğini belirtti.
Araştırmacı ayrıca, PidlidReminderOverride özelliğinin Microsoft Outlook'u PidlidReminderFileparameter özelliğinde uzak, kötü niyetli bir UNC yolu haline getirmek için kullanılabileceğini keşfetti.
Bu bilgiler, araştırmacının güvenlik açığını tetikleyecek ve hedefin NTLM karmalarını keyfi bir sunucuya gönderecek bir takvim randevusu ile kötü amaçlı bir Outlook e -postası (.msg) oluşturmasına izin verdi.
Bu çalınan NTLM karmalar daha sonra kurumsal ağlara daha derin erişim için NTLM rölesi saldırıları gerçekleştirmek için kullanılabilir.
Takvim randevularının yanı sıra, bir saldırgan, karmaları çalmak için Microsoft Outlook görevlerini, notlarını veya e -posta mesajlarını da kullanabilir.
Chell, CVE-2023-23397'nin güvenilir intranet bölgesinin veya güvenilir sitelerin dışındaki bir IP adresine kimlik doğrulamasını tetiklemek için kullanılabileceğini belirtiyor.
MDSEC, Microsoft Outlook'taki yeni yamalı kritik güvenlik açığının nasıl kullanılabileceğini gösteren bir video paylaştı:
Güvenlik açığı, muhtemelen hizmetlerini hedefleyen saldırılarda kullanıldığını gördükten sonra Ukrayna’nın Bilgisayar Acil Müdahale Ekibi (CERT-UA) tarafından Microsoft'a bulundu ve bildirildi.
Microsoft'a göre, “Rusya merkezli bir tehdit oyuncusu”, hükümet, ulaşım, enerji ve askeri sektördeki çeşitli Avrupa örgütlerine yönelik hedefli saldırılardaki kırılganlıktan yararlandı.
Saldırıların arkasındaki hack grubunun, Rusya Federasyonu Silahlı Kuvvetleri (GRU) Genel Müdürlüğüne bağlı bir tehdit oyuncusu olan APT28 (yani Strontium, Fancy Bear, Sednit, Sofacy) olduğuna inanılıyor.
Geçen Aralık ayında meydana gelen son saldırı olan CVE-2023-23397 kullanılarak 15'e kadar kuruluşun hedeflendiğine veya ihlal edildiğine inanılıyor.
Hackerlar eriştikten sonra, kavramalarını genişletmek ve bilgi toplamak için ağdaki daha değerli sistemlere geçmek için genellikle Impacket ve PowerShell İmparatorluğu açık kaynaklı çerçeveler kullanırlar.
Yöneticilere, Patching CVE-2023-23397'ye öncelik vermeleri ve karşılığında mesajlaşma öğelerinin UNC yoluyla olup olmadığını doğrulayarak sömürü belirtilerini kontrol etmek için Microsoft'un komut dosyasını kullanmaları şiddetle tavsiye edilir.
Microsoft, Nisan 2022'den bu yana Rus hackerlar tarafından kullanılan Outlook Zero Day'i düzeltiyor
Android, iOS'ta yerleşik Microsoft 365 MFA almak için Outlook uygulaması
Microsoft, Exchange Ortamlarında Outlook Oturum Açma Hataları için Düzeltme Paylaşımları
Mac için Outlook Now Free, Microsoft 365 aboneliğinin gerekli olmadığını
Google, Outlook kullanıcılarını etkileyen gmail imap senkronizasyon sorunlarını araştırıyor
Kaynak: Bleeping Computer