Microsoft har bekræftet, at hackere aktivt udnytter en zero-day-sårbarhed i Outlook. Ifølge rapporten kan fejlen eksponere Windows-godkendelsesoplysninger, når en bruger åbner en ondsindet fil. Denne form for tyveri af godkendelseshashes via Outlook-zero-day bør tages alvorligt, fordi de stjålne data kan blive et springbræt til meget større problemer.
De detaljer, der hidtil er offentliggjort, er begrænsede, så denne artikel holder sig til det bekræftede og tilføjer generel baggrund om, hvordan tyveri af loginoplysninger foregår. Hvor specifikke oplysninger mangler, siger vi det.
Sådan stjæler Outlook-zero-day Windows-hashes
Det bekræftede: Angribere udnytter en tidligere uafhjulpet svaghed i Outlook, og udløseren er, at en bruger åbner en ondsindet fil. Når det sker, kan Windows-godkendelsesoplysninger blive eksponeret for angriberen.
En "zero-day" betyder ganske enkelt, at fejlen blev brugt i angreb, før en rettelse var tilgængelig. "Udnyttet" betyder, at dette ikke er et teoretisk forskningsresultat. Rigtige angribere bruger det nu.
En godkendelseshash er en sløret repræsentation af en adgangskode eller loginoplysning, som Windows bruger til at bevise, hvem du er på et netværk. Generelt kan angribere, der opsnapper en hash, forsøge at knække den offline for at gendanne den oprindelige adgangskode, eller i nogle opsætninger genbruge den til at godkende uden nogensinde at kende adgangskoden. Kildeartiklen siger ikke, hvilke af disse veje angriberne tager med denne specifikke fejl, og vi vil ikke gætte.
Hvem er i risiko, og hvad angribere kan gøre med stjålne hashes
Baseret på de bekræftede detaljer er alle, der bruger Outlook på Windows og kan narres til at åbne en ondsindet fil, potentielt eksponeret. Organisationer fortjener særlig opmærksomhed, da en enkelt medarbejders loginoplysninger kan åbne døre til fælles systemer, filservere og interne applikationer.
Generelt kan stjålne loginoplysninger føre til:
- Kontoovertagelse, hvis en hash knækkes, og adgangskoden er svag eller genbrugt
- Lateral bevægelse inde i en virksomheds netværk, hvor en kompromitteret konto bruges til at nå andre
- Datatyveri fra postkasser, filshare og cloudtjenester knyttet til samme identitet
Disse resultater er generelle risici ved tyveri af loginoplysninger, ikke bekræftede resultater af denne specifikke kampagne. Ikke desto mindre forklarer de, hvorfor en fejl, der "kun" lækker godkendelsesdata, betyder noget. Stjålet adgang er ofte det første skridt før datatyveri og afpresning. For et nyligt eksempel på, hvordan stjålne data bliver til pres på et offer, se vores dækning af Berlins løsepengekrav efter et regeringshack.
Hvad du skal gøre nu: patch, afbød, og tjek eksponering
Fordi dette angreb afhænger af, at en bruger åbner en ondsindet fil, er dine forsvar en blanding af softwareopdateringer og omhyggelige vaner.
- Anvend Microsofts rettelse eller afbødninger. Tjek Microsofts officielle sikkerhedsvejledning for denne Outlook-sårbarhed, og installer patchen, så snart den er tilgængelig for din version. Hvis der kun er offentliggjort afbødninger, skal du anvende dem i dag i stedet for at vente.
- Opdater Windows og Office sammen. Kør Windows Update og Microsoft 365- eller Office-opdateringer, så du ikke mangler relaterede rettelser.
- Slå risikabel forhåndsvisning fra. Hvor din organisation tillader det, skal du deaktivere automatisk forhåndsvisning af vedhæftede filer og undgå at åbne filer fra afsendere, du ikke genkender.
- Behandl uventede vedhæftede filer som fjendtlige. Bekræft med afsenderen via en separat kanal, før du åbner noget usædvanligt, selv om e-mailen ser intern ud.
- Aktivér multifaktor-godkendelse (MFA). MFA fjerner ikke fejlen, men det gør stjålne loginoplysninger meget sværere at bruge alene.
- Skift adgangskode, hvis du har mistanke om eksponering. Hvis du åbnede en mistænkelig fil, skal du skifte adgangskode og straks fortælle det til din IT- eller sikkerhedsafdeling, så de kan gennemgå logfiler for usædvanlige logins.
IT-administratorer bør også holde øje med usædvanlige godkendelsesforsøg og uventede udgående forbindelser fra arbejdsstationer, da disse kan være tegn på opsnapning af loginoplysninger. Microsofts egen rådgivning vil indeholde den autoritative liste over indikatorer og rettelser.
Hvorfor en VPN ikke stopper dette angreb
Med så meget privatlivsrådgivning centreret om VPN'er er det værd at være direkte: En VPN er ikke et forsvar mod dette problem. En VPN krypterer trafik mellem din enhed og VPN-serveren og maskerer din IP-adresse. Den forhindrer dig ikke i at åbne en ondsindet fil, og den reparerer ikke en sårbarhed inde i Outlook.
Dette angreb virker på applikations- og godkendelsesniveau på din egen maskine. De rettelser, der betyder noget her, er patching, forsigtige e-mailvaner og stærk kontobeskyttelse som MFA. En VPN kan stadig være nyttig til andre privatlivsmål, såsom at beskytte trafik på offentligt Wi-Fi, men den bør ikke forveksles med beskyttelse mod en fejl som denne.
Hvad det betyder for dig
Hvis du bruger Outlook på Windows, skal du antage, at dette er en aktuel trussel og ikke en fremtidig. Den praktiske risiko kommer ned til ét øjeblik: at åbne en fil, du ikke burde have åbnet. Sæt tempoet ned med uventede vedhæftede filer, hold din software opdateret, og sørg for, at dine konti er beskyttet med MFA, så en lækket loginoplysning ikke er nok for en angriber til at komme ind.
For virksomheder er dette en påmindelse om at behandle tyveri af loginoplysninger som en indgang til større hændelser. Hurtig patching og god overvågning mindsker det vindue, angribere har at arbejde med.
Vigtige pointer
- Microsoft har bekræftet aktiv udnyttelse af en Outlook-zero-day, der kan eksponere Windows-godkendelsesoplysninger, når en ondsindet fil åbnes.
- Anvend Microsofts patch eller offentliggjorte afbødninger i dag, og opdater Windows og Office.
- Deaktiver risikable forhåndsvisningsfunktioner, hvor det er muligt, og bekræft uventede vedhæftede filer, før du åbner dem.
- Aktivér MFA for dine e-mail- og arbejdskonti, og skift adgangskoder, hvis du tror, du har åbnet noget mistænkeligt.
- En VPN beskytter dig ikke mod tyveri af godkendelseshashes via Outlook-zero-day. Patching og phishing-hygiejne gør.
Tjek din opdateringsstatus nu, og del dette med kolleger eller familiemedlemmer, der bruger Outlook hver dag.
