Microsoft, Avrupa organizasyonlarını hedeflemek için Rusya'nın Askeri İstihbarat Servisi GRU'ya bağlı bir hack grubu tarafından kullanılan bir Sıfır Gün Güvenlik Açığı'nı (CVE-2023-23397) yamaladı.
Güvenlik kırılganlığı, 15'ten az hükümet, askeri, enerji ve ulaşım kuruluşunun Nisan ortası ile Aralık 2022 arasında ağları hedeflemek ve ihlal etmek için saldırılarda kullanıldı.
Hacking grubu (APT28, Strontium, Sednit, Sofacy ve Fancy Bear olarak izlendi), hedeflerin cihazlarını saldırgan kontrollü SMB paylaşımlarına kimlik doğrulamaya zorlayarak NTLM müzakere istekleri aracılığıyla NTLM karma taleplerini çalmak için kötü niyetli görünüm notları ve görevleri gönderdi.
Çalınan kimlik bilgileri, kurban ağları içindeki yanal hareket için ve belirli hesaplar için e -posta açığa çıkmasına izin veren bir taktik olan Outlook Posta Kutusu klasör izinlerini değiştirmek için kullanıldı.
Microsoft, bu bilgiyi BleepingComputer tarafından görülen ve Microsoft 365 Defender, Microsoft Defender için Microsoft Defender veya Endpoint Plan 2 abonelikleri için Microsoft Defender'ı olan müşteriler tarafından kullanılabilir özel bir tehdit analiz raporunda paylaştı.
Güvenlik açığı (CVE-2023-23397) CERT-UA (Ukrayna için bilgisayar acil müdahale ekibi) tarafından bildirilmiştir ve düşük kompleks saldırılarında kullanıcı etkileşimi olmadan ayrıcalık güvenlik kusurunun kritik bir görünüm yükselmesidir.
Tehdit aktörleri, kontrolleri altında SMB payına (TCP 445) UNC yolları içeren genişletilmiş MAPI özelliklerine sahip mesajlar göndererek kullanabilir.
Microsoft, yayınlanan bir güvenlik danışmanında, "Saldırgan, Outlook istemcisi tarafından alındığında ve işlendiğinde otomatik olarak tetiklenen özel hazırlanmış bir e -posta göndererek bu güvenlik açığını kullanabilir. Bugün.
Redmond ayrı bir blog yayınına eklenen Redmond, "Uzak SMB sunucusuna bağlantı, kullanıcının NTLM kimlik doğrulamasını destekleyen diğer sistemlere karşı kimlik doğrulaması için aktarabileceği NTLM müzakere mesajını gönderiyor."
CVE-2023-23397, Windows için Microsoft Outlook'un desteklenen tüm sürümlerini etkiler, ancak Android, iOS veya macOS sürümleri için Outlook'u etkilemez.
Ayrıca, Web'de Outlook ve Microsoft 365 gibi çevrimiçi hizmetler NTLM kimlik doğrulamasını desteklemediğinden, bu NTLM rölesi güvenlik açığından yararlanan saldırılara karşı savunmasız değildir.
Microsoft, gelen saldırıları engellemek için bu güvenlik açığını azaltmak için CVE-2023-23397'nin hemen yama yapmasını önerir.
Şirket ayrıca, Active Directory'deki korunan kullanıcılar grubuna kullanıcılar eklemeyi ve yama işlemi mümkün değilse, giden KOBİ'lik (TCP bağlantı noktası 445) engellenmesini tavsiye eder, bu da CVE-2023-23397'nin etkisini sınırlandırabilir.
Microsoft, müşterileri sistemlerini derhal CVE-2023-23397'ye göre yamaya veya Active Directory'deki korumalı kullanıcılar grubuna kullanıcılar eklemelerini ve saldırıların etkisini en aza indirmek için geçici bir azaltma olarak giden KOBİ (TCP bağlantı noktası 445) engellemelerini istiyor.
Redmond ayrıca, yöneticilerin değişim ortamlarındaki herhangi bir kullanıcının bu Outlook güvenlik açığı kullanılarak hedeflenip hedeflenmediğini kontrol etmelerine yardımcı olmak için özel bir PowerShell betiği yayınladı.
Microsoft, "bir mülkün UNC yoluyla doldurulup doldurulmadığını görmek için mesajlaşma eşyalarını (posta, takvim ve görevler) kontrol ediyor" diyor.
"Gerekirse, yöneticiler bu komut dosyasını, kötü niyetli ürünler için mülkü temizlemek veya öğeleri kalıcı olarak silmek için kullanabilirler."
Bu komut dosyası ayrıca, temizleme modunda çalıştırıldığında denetlenen Exchange sunucusunda bulunursa potansiyel olarak kötü amaçlı mesajların değiştirilmesine veya silinmesine izin verir.
Microsoft Fidye Yazılımı Saldırılarında Windows Zero Day Soleed Düzeltiyor
Microsoft Mart 2023 Patch Salı 2 sıfır gün, 83 kusur düzeltiyor
Mac için Outlook Now Free, Microsoft 365 aboneliğinin gerekli olmadığını
Microsoft Şubat 2023 Patch Salı Düzeltmeleri 3 Sökücü Sıfır Günleri, 77 Kusur
Cisa, sıfır gün olarak sömürülen pencereler ve iOS hataları konusunda uyarıyor
Kaynak: Bleeping Computer