Η Microsoft επιβεβαίωσε ότι οι χάκερ εκμεταλλεύονται ενεργά μια ευπάθεια zero-day στο Outlook. Σύμφωνα με την αναφορά, το σφάλμα μπορεί να εκθέσει πληροφορίες ελέγχου ταυτότητας των Windows όταν ένας χρήστης ανοίγει ένα κακόβουλο αρχείο. Αυτού του είδους η κλοπή hash ελέγχου ταυτότητας μέσω zero-day στο Outlook αξίζει να ληφθεί σοβαρά υπόψη, διότι τα κλεμμένα δεδομένα μπορούν να γίνουν εφαλτήριο για πολύ μεγαλύτερα προβλήματα.
Οι λεπτομέρειες που έχουν δημοσιευτεί μέχρι στιγμής είναι περιορισμένες, επομένως αυτό το άρθρο περιορίζεται σε ό,τι έχει επιβεβαιωθεί και προσθέτει γενικό υπόβαθρο για το πώς λειτουργεί η κλοπή διαπιστευτηρίων. Όπου λείπουν συγκεκριμένες πληροφορίες, το αναφέρουμε.
Πώς το zero-day του Outlook κλέβει hashes των Windows
Τι έχει επιβεβαιωθεί: οι επιτιθέμενοι εκμεταλλεύονται μια προηγουμένως μη διορθωμένη αδυναμία στο Outlook, και το έναυσμα είναι το άνοιγμα ενός κακόβουλου αρχείου από τον χρήστη. Όταν συμβεί αυτό, οι πληροφορίες ελέγχου ταυτότητας των Windows μπορούν να εκτεθούν στον επιτιθέμενο.
Ένα "zero-day" σημαίνει απλώς ότι το σφάλμα χρησιμοποιούνταν σε επιθέσεις πριν να είναι διαθέσιμη μια διόρθωση. Το "εκμεταλλεύονται" σημαίνει ότι δεν πρόκειται για θεωρητικό εύρημα έρευνας. Πραγματικοί επιτιθέμενοι το χρησιμοποιούν τώρα.
Ένα hash ελέγχου ταυτότητας είναι μια κωδικοποιημένη αναπαράσταση ενός κωδικού πρόσβασης ή διαπιστευτηρίου που χρησιμοποιεί το Windows για να αποδείξει ποιος είστε σε ένα δίκτυο. Σε γενικές γραμμές, οι επιτιθέμενοι που υποκλέπτουν ένα hash μπορεί να προσπαθήσουν να το σπάσουν offline για να ανακτήσουν τον αρχικό κωδικό πρόσβασης, ή σε ορισμένες ρυθμίσεις να το επαναχρησιμοποιήσουν για έλεγχο ταυτότητας χωρίς να γνωρίζουν ποτέ τον κωδικό πρόσβασης. Το άρθρο πηγής δεν αναφέρει ποια από αυτές τις διαδρομές ακολουθούν οι επιτιθέμενοι με αυτό το συγκεκριμένο σφάλμα, και δεν θα κάνουμε εικασίες.
Ποιος κινδυνεύει και τι μπορούν να κάνουν οι επιτιθέμενοι με τα κλεμμένα hashes
Με βάση τις επιβεβαιωμένες λεπτομέρειες, οποιοσδήποτε χρησιμοποιεί το Outlook σε Windows και θα μπορούσε να εξαπατηθεί ώστε να ανοίξει ένα κακόβουλο αρχείο είναι δυνητικά εκτεθειμένος. Οι οργανισμοί χρειάζονται ιδιαίτερη προσοχή, καθώς τα διαπιστευτήρια ενός μόνο εργαζομένου μπορούν να ανοίξουν πόρτες σε κοινόχρηστα συστήματα, διακομιστές αρχείων και εσωτερικές εφαρμογές.
Σε γενικές γραμμές, το κλεμμένο υλικό διαπιστευτηρίων μπορεί να οδηγήσει σε:
- Κατάληψη λογαριασμού εάν ένα hash σπαστεί και ο κωδικός πρόσβασης είναι αδύναμος ή επαναχρησιμοποιημένος
- Πλευρική μετακίνηση μέσα σε εταιρικό δίκτυο, όπου ένας παραβιασμένος λογαριασμός χρησιμοποιείται για να προσεγγιστούν άλλοι
- Κλοπή δεδομένων από γραμματοκιβώτια, κοινόχρηστους φακέλους και υπηρεσίες cloud που συνδέονται με την ίδια ταυτότητα
Αυτά τα αποτελέσματα είναι γενικοί κίνδυνοι της κλοπής διαπιστευτηρίων, όχι επιβεβαιωμένα αποτελέσματα αυτής της συγκεκριμένης εκστρατείας. Ωστόσο, εξηγούν γιατί ένα σφάλμα που "μόνο" διαρρέει δεδομένα ελέγχου ταυτότητας έχει σημασία. Η κλεμμένη πρόσβαση είναι συχνά το πρώτο βήμα πριν από την κλοπή δεδομένων και τον εκβιασμό. Για ένα πρόσφατο παράδειγμα του πώς τα κλεμμένα δεδομένα μετατρέπονται σε πίεση προς ένα θύμα, δείτε την κάλυψή μας για την απαίτηση λύτρων στο Βερολίνο μετά από κυβερνοεπίθεση.
Τι να κάνετε τώρα: ενημέρωση, μετριασμός και έλεγχος έκθεσης
Επειδή αυτή η επίθεση εξαρτάται από το άνοιγμα ενός κακόβουλου αρχείου από τον χρήστη, οι άμυνές σας είναι ένας συνδυασμός ενημερώσεων λογισμικού και προσεκτικών συνηθειών.
- Εφαρμόστε τη διόρθωση ή τα μέτρα μετριασμού της Microsoft. Ελέγξτε την επίσημη οδηγία ασφαλείας της Microsoft για αυτήν την ευπάθεια του Outlook και εγκαταστήστε την ενημέρωση το συντομότερο διαθέσιμο για την έκδοσή σας. Εάν έχουν δημοσιευτεί μόνο μέτρα μετριασμού, εφαρμόστε τα σήμερα αντί να περιμένετε.
- Ενημερώστε τα Windows και το Office μαζί. Εκτελέστε το Windows Update και τις ενημερώσεις του Microsoft 365 ή του Office ώστε να μην χάνετε σχετικές διορθώσεις.
- Απενεργοποιήστε την επικίνδυνη συμπεριφορά προεπισκόπησης. Όπου το επιτρέπει ο οργανισμός σας, απενεργοποιήστε την αυτόματη προεπισκόπηση συνημμένων και αποφύγετε το άνοιγμα αρχείων από αποστολείς που δεν αναγνωρίζετε.
- Αντιμετωπίστε τα απροσδόκητα συνημμένα ως εχθρικά. Επαληθεύστε με τον αποστολέα μέσω ξεχωριστού καναλιού πριν ανοίξετε οτιδήποτε ασυνήθιστο, ακόμη και αν το email φαίνεται εσωτερικό.
- Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA). Το MFA δεν θα εξαλείψει το σφάλμα, αλλά καθιστά τα κλεμμένα διαπιστευτήρια πολύ πιο δύσκολο να χρησιμοποιηθούν από μόνα τους.
- Αλλάξτε κωδικούς πρόσβασης εάν υποψιάζεστε έκθεση. Εάν ανοίξατε ένα ύποπτο αρχείο, αλλάξτε τον κωδικό πρόσβασής σας και ενημερώστε αμέσως την ομάδα IT ή ασφαλείας σας ώστε να ελέγξει τα αρχεία καταγραφής για ασυνήθιστες συνδέσεις.
Οι διαχειριστές IT θα πρέπει επίσης να προσέχουν για ασυνήθιστες απόπειρες ελέγχου ταυτότητας και απροσδόκητες εξερχόμενες συνδέσεις από σταθμούς εργασίας, καθώς αυτά μπορεί να είναι σημάδια υποκλοπής διαπιστευτηρίων. Η επίσημη ειδοποίηση της Microsoft θα περιέχει την έγκυρη λίστα δεικτών και διορθώσεων.
Γιατί ένα VPN δεν θα σταματήσει αυτήν την επίθεση
Με τόσες πολλές συμβουλές απορρήτου επικεντρωμένες στα VPN, αξίζει να είμαστε άμεσοι: ένα VPN δεν είναι άμυνα απέναντι σε αυτό το πρόβλημα. Ένα VPN κρυπτογραφεί την κίνηση μεταξύ της συσκευής σας και του διακομιστή VPN και συγκαλύπτει τη διεύθυνση IP σας. Δεν σας εμποδίζει να ανοίξετε ένα κακόβουλο αρχείο και δεν επιδιορθώνει μια ευπάθεια μέσα στο Outlook.
Αυτή η επίθεση λειτουργεί στο επίπεδο εφαρμογής και ελέγχου ταυτότητας, στο δικό σας μηχάνημα. Οι διορθώσεις που έχουν σημασία εδώ είναι η ενημέρωση, οι προσεκτικές συνήθειες email και η ισχυρή προστασία λογαριασμού όπως το MFA. Ένα VPN μπορεί ακόμα να είναι χρήσιμο για άλλους στόχους απορρήτου, όπως η προστασία της κίνησης σε δημόσιο Wi-Fi, αλλά δεν πρέπει να θεωρείται προστασία απέναντι σε ένα τέτοιο σφάλμα.
Τι σημαίνει αυτό για εσάς
Εάν χρησιμοποιείτε το Outlook σε Windows, θεωρήστε ότι πρόκειται για ενεργή απειλή και όχι μελλοντική. Ο πρακτικός κίνδυνος ανάγεται σε μια στιγμή: το άνοιγμα ενός αρχείου που δεν θα έπρεπε να είχατε ανοίξει. Επιβραδύνετε με τα απροσδόκητα συνημμένα, διατηρείτε το λογισμικό σας ενημερωμένο και βεβαιωθείτε ότι οι λογαριασμοί σας προστατεύονται με MFA ώστε ένα διαρρεύσαν διαπιστευτήριο να μην αρκεί για να μπει ένας επιτιθέμενος.
Για τις επιχειρήσεις, αυτό είναι μια υπενθύμιση να αντιμετωπίζουν την κλοπή διαπιστευτηρίων ως πύλη προς μεγαλύτερα περιστατικά. Η γρήγορη ενημέρωση και η καλή παρακολούθηση μειώνουν το παράθυρο που έχουν οι επιτιθέμενοι για να δράσουν.
Βασικά συμπεράσματα
- Η Microsoft επιβεβαίωσε την ενεργή εκμετάλλευση ενός zero-day στο Outlook που μπορεί να εκθέσει πληροφορίες ελέγχου ταυτότητας των Windows όταν ανοίγει ένα κακόβουλο αρχείο.
- Εφαρμόστε σήμερα τη διόρθωση ή τα δημοσιευμένα μέτρα μετριασμού της Microsoft και ενημερώστε τα Windows και το Office.
- Απενεργοποιήστε τις επικίνδυνες λειτουργίες προεπισκόπησης όπου είναι δυνατόν και επαληθεύστε τα απροσδόκητα συνημμένα πριν τα ανοίξετε.
- Ενεργοποιήστε το MFA για το email και τους εργασιακούς σας λογαριασμούς και αλλάξτε κωδικούς πρόσβασης εάν νομίζετε ότι ανοίξατε κάτι ύποπτο.
- Ένα VPN δεν θα σας προστατεύσει από την κλοπή hash ελέγχου ταυτότητας μέσω zero-day στο Outlook. Η ενημέρωση και η υγιεινή κατά του phishing θα το κάνουν.
Ελέγξτε τώρα την κατάσταση ενημερώσεών σας και μοιραστείτε το με συναδέλφους ή συγγενείς που βασίζονται στο Outlook καθημερινά.
