Microsoft потвърди, че хакери активно експлоатират zero-day уязвимост в Outlook. Според доклада недостатъкът може да разкрие информация за удостоверяване в Windows, когато потребител отвори злонамерен файл. Този вид кражба на хешове за удостоверяване чрез zero-day в Outlook заслужава сериозно внимание, защото откраднатите данни могат да се превърнат в трамплин към много по-големи проблеми.

Публикуваните досега подробности са ограничени, затова тази статия се придържа към потвърденото и добавя общ контекст за това как работи кражбата на идентификационни данни. Където липсват конкретни данни, казваме го изрично.

Как zero-day в Outlook краде Windows хешове

Какво е потвърдено: атакуващите експлоатират досега непоправена слабост в Outlook, а задействащият фактор е потребител, който отваря злонамерен файл. Когато това се случи, информацията за удостоверяване в Windows може да бъде разкрита пред атакуващия.

„Zero-day“ просто означава, че недостатъкът е бил използван в атаки, преди да е било налично поправка. „Експлоатиран“ означава, че това не е теоретична изследователска находка. Реални атакуващи го използват в момента.

Хешът за удостоверяване е разбъркано представяне на парола или идентификационни данни, което Windows използва, за да докаже кой сте в дадена мрежа. Като общо правило атакуващите, които прихванат хеш, може да се опитат да го разбият офлайн, за да възстановят оригиналната парола, или в някои конфигурации да го използват повторно за удостоверяване, без изобщо да знаят паролата. Изходната статия не казва кой от тези пътища използват атакуващите при този конкретен недостатък и ние няма да гадаем.

Кой е изложен на риск и какво могат да направят атакуващите с откраднати хешове

Въз основа на потвърдените подробности всеки, който използва Outlook на Windows и може да бъде подмамен да отвори злонамерен файл, е потенциално изложен. Организациите заслужават специално внимание, тъй като идентификационните данни на един служител могат да отворят врати към споделени системи, файлови сървъри и вътрешни приложения.

В общи линии откраднатият идентификационен материал може да доведе до:

  • Завземане на акаунт, ако хешът бъде разбит и паролата е слаба или използвана повторно
  • Странично придвижване в корпоративна мрежа, където един компрометиран акаунт се използва за достигане до други
  • Кражба на данни от пощенски кутии, файлови споделяния и облачни услуги, свързани със същата самоличност

Тези последици са общи рискове от кражба на идентификационни данни, а не потвърдени резултати от тази конкретна кампания. Въпреки това те обясняват защо недостатък, който „само“ изтича данни за удостоверяване, има значение. Откраднатият достъп често е първата стъпка преди кражба на данни и изнудване. За скорошен пример как откраднатите данни се превръщат в натиск върху жертвата вижте нашето отразяване на искането за откуп в Берлин след хакване на правителство.

Какво да направите сега: поправка, смекчаване и проверка на излагането

Тъй като тази атака зависи от това потребител да отвори злонамерен файл, вашите защити са смесица от софтуерни актуализации и внимателни навици.

  1. Приложете поправката или смекчаващите мерки на Microsoft. Проверете официалните указания за сигурност на Microsoft относно тази уязвимост в Outlook и инсталирайте кръпката веднага щом стане налична за вашата версия. Ако са публикувани само смекчаващи мерки, приложете ги още днес, вместо да чакате.
  2. Актуализирайте Windows и Office заедно. Стартирайте Windows Update и актуализациите за Microsoft 365 или Office, за да не пропуснете свързани поправки.
  3. Изключете рисковото поведение при визуализация. Където вашата организация позволява, деактивирайте автоматичната визуализация на прикачени файлове и избягвайте отварянето на файлове от податели, които не разпознавате.
  4. Отнасяйте се към неочакваните прикачени файлове като към враждебни. Проверете с подателя чрез отделен канал, преди да отворите нещо необичайно, дори ако имейлът изглежда вътрешен.
  5. Активирайте многофакторно удостоверяване (MFA). MFA няма да премахне недостатъка, но прави откраднатите идентификационни данни много по-трудни за използване самостоятелно.
  6. Сменете паролите, ако подозирате излагане. Ако сте отворили подозрителен файл, сменете паролата си и уведомете незабавно вашия ИТ или екип по сигурност, за да прегледат日志овете за необичайни вписвания.

ИТ администраторите също трябва да следят за необичайни опити за удостоверяване и неочаквани изходящи връзки от работни станции, тъй като това може да са признаци за прихващане на идентификационни данни. Официалното предупреждение на Microsoft ще съдържа авторитетния списък с индикатори и поправки.

Защо VPN няма да спре тази атака

С толкова много съвети за поверителност, съсредоточени около VPN, си струва да бъдем директни: VPN не е защита срещу този проблем. VPN криптира трафика между вашето устройство и VPN сървъра и маскира вашия IP адрес. Той не ви спира да отворите злонамерен файл и не поправя уязвимост в Outlook.

Тази атака работи на ниво приложение и удостоверяване, на вашата собствена машина. Поправките, които имат значение тук, са кръпки, внимателни имейл навици и силна защита на акаунта като MFA. VPN все още може да бъде полезен за други цели за поверителност, като защита на трафика в публичен Wi-Fi, но не бива да се бърка със защита срещу недостатък като този.

Какво означава това за вас

Ако използвате Outlook на Windows, приемете, че това е реална заплаха, а не бъдеща. Практическият риск се свежда до един момент: отваряне на файл, който не е трябвало да отваряте. Забавете се при неочаквани прикачени файлове, поддържайте софтуера си актуален и се уверете, че акаунтите ви са защитени с MFA, така че изтекли идентификационни данни да не са достатъчни, за да влезе атакуващ.

За бизнеса това е напомняне да третират кражбата на идентификационни данни като входна врата към по-големи инциденти. Бързото прилагане на кръпки и доброто наблюдение свиват прозореца, с който атакуващите разполагат.

Ключови изводи

  • Microsoft потвърди активна експлоатация на zero-day в Outlook, който може да разкрие информация за удостоверяване в Windows при отваряне на злонамерен файл.
  • Приложете кръпката или публикуваните смекчаващи мерки на Microsoft още днес и актуализирайте Windows и Office.
  • Деактивирайте рисковите функции за визуализация, където е възможно, и проверявайте неочакваните прикачени файлове, преди да ги отворите.
  • Активирайте MFA за имейла и работните си акаунти и сменете паролите, ако смятате, че сте отворили нещо подозрително.
  • VPN няма да ви защити от кражба на хешове за удостоверяване чрез zero-day в Outlook. Кръпките и хигиената срещу фишинг ще го направят.

Проверете статуса на актуализациите си сега и споделете това с колеги или членове на семейството, които разчитат на Outlook всеки ден.