Microsoft je potvrdio da hakeri aktivno iskorištavaju zero-day ranjivost u Outlooku. Prema izvješću, nedostatak može izložiti Windows autentifikacijske podatke kada korisnik otvori zlonamjernu datoteku. Ovu vrstu Outlook zero-day krađe autentifikacijskih hash-eva vrijedi shvatiti ozbiljno jer ukradeni podaci mogu postati odskočna daska za mnogo veće probleme.
Do sada objavljeni detalji su ograničeni, pa se ovaj članak drži onoga što je potvrđeno i dodaje opću pozadinu o tome kako funkcionira krađa vjerodajnica. Gdje nedostaju pojedinosti, to i navodimo.
Kako Outlook zero-day krade Windows hash-eve
Što je potvrđeno: napadači iskorištavaju prethodno nezakrpljenu slabost u Outlooku, a okidač je korisnik koji otvori zlonamjernu datoteku. Kada se to dogodi, Windows autentifikacijski podaci mogu biti izloženi napadaču.
"Zero-day" jednostavno znači da je nedostatak bio korišten u napadima prije nego što je popravak bio dostupan. "Iskorištavan" znači da ovo nije teorijski nalaz istraživanja. Stvarni napadači ga koriste sada.
Autentifikacijski hash je zakodirani prikaz lozinke ili vjerodajnice koju Windows koristi za dokazivanje vašeg identiteta na mreži. Općenito govoreći, napadači koji uhvate hash mogu ga pokušati razbiti izvan mreže kako bi povratili izvornu lozinku ili ga u nekim postavkama ponovno upotrijebiti za autentifikaciju bez ikakvog znanja lozinke. Izvorni članak ne navodi koji od tih putova napadači koriste s ovim konkretnim nedostatkom i nećemo nagađati.
Tko je u opasnosti i što napadači mogu učiniti s ukradenim hash-evima
Na temelju potvrđenih detalja, svatko tko koristi Outlook na Windowsu i mogao bi biti prevaren da otvori zlonamjernu datoteku potencijalno je izložen. Organizacije zaslužuju posebnu pozornost jer vjerodajnice jednog zaposlenika mogu otvoriti vrata dijeljenim sustavima, datotečnim poslužiteljima i internim aplikacijama.
Općenito govoreći, ukradeni materijal vjerodajnica može dovesti do:
- Preuzimanja računa ako se hash razbije i lozinka je slaba ili ponovno korištena
- Lateralnog kretanja unutar korporativne mreže, gdje se jedan kompromitirani račun koristi za dosezanje drugih
- Krađe podataka iz poštanskih sandučića, dijeljenih mapa i cloud usluga povezanih s istim identitetom
Ti su ishodi opći rizici krađe vjerodajnica, a ne potvrđeni rezultati ove konkretne kampanje. Ipak, objašnjavaju zašto je nedostatak koji "samo" otkriva autentifikacijske podatke važan. Ukradeni pristup često je prvi korak prije krađe podataka i iznude. Za nedavni primjer kako se ukradeni podaci pretvaraju u pritisak na žrtvu, pogledajte našu reportažu o berlinskom zahtjevu za otkupninom nakon hakiranja vlade.
Što učiniti sada: zakrpajte, ublažite i provjerite izloženost
Budući da ovaj napad ovisi o tome da korisnik otvori zlonamjernu datoteku, vaša obrana je mješavina ažuriranja softvera i pažljivih navika.
- Primijenite Microsoftov popravak ili mjere ublažavanja. Provjerite Microsoftove službene sigurnosne smjernice za ovu Outlook ranjivost i instalirajte zakrpu čim postane dostupna za vašu verziju. Ako su objavljene samo mjere ublažavanja, primijenite ih danas umjesto da čekate.
- Ažurirajte Windows i Office zajedno. Pokrenite Windows Update i ažuriranja za Microsoft 365 ili Office kako vam ne bi promakli povezani popravci.
- Isključite rizično ponašanje pregleda. Gdje vaša organizacija to dopušta, onemogućite automatski pregled privitaka i izbjegavajte otvaranje datoteka od pošiljatelja koje ne prepoznajete.
- Tretirajte neočekivane privitke kao neprijateljske. Provjerite s pošiljateljem putem zasebnog kanala prije otvaranja bilo čega neobičnog, čak i ako e-pošta izgleda interno.
- Omogućite višefaktorsku autentifikaciju (MFA). MFA neće ukloniti nedostatak, ali znatno otežava korištenje ukradenih vjerodajnica samostalno.
- Promijenite lozinke ako sumnjate na izloženost. Ako ste otvorili sumnjivu datoteku, promijenite lozinku i odmah obavijestite svoj IT ili sigurnosni tim kako bi mogli pregledati zapise za neobične prijave.
IT administratori također trebaju paziti na neobične pokušaje autentifikacije i neočekivane odlazne veze s radnih stanica jer to mogu biti znakovi hvatanja vjerodajnica. Microsoftov vlastiti savjet sadržavat će autoritativni popis indikatora i popravaka.
Zašto VPN neće zaustaviti ovaj napad
S toliko savjeta o privatnosti usredotočenih na VPN-ove, vrijedi biti izravan: VPN nije obrana od ovog problema. VPN šifrira promet između vašeg uređaja i VPN poslužitelja i maskira vašu IP adresu. Ne sprječava vas da otvorite zlonamjernu datoteku i ne popravlja ranjivost unutar Outlooka.
Ovaj napad djeluje na razini aplikacije i autentifikacije, na vašem vlastitom računalu. Popravci koji su ovdje važni su zakrpe, pažljive navike e-pošte i jaka zaštita računa poput MFA. VPN i dalje može biti koristan za druge ciljeve privatnosti, poput zaštite prometa na javnom Wi-Fi-ju, ali ne treba ga zamijeniti sa zaštitom od ovakvog nedostatka.
Što to znači za vas
Ako koristite Outlook na Windowsu, pretpostavite da je ovo aktualna prijetnja, a ne buduća. Praktični rizik svodi se na jedan trenutak: otvaranje datoteke koju niste trebali otvoriti. Usporite s neočekivanim privicima, održavajte softver ažurnim i pobrinite se da su vaši računi zaštićeni MFA-om kako procurjele vjerodajnice ne bi bile dovoljne napadaču da uđe.
Za tvrtke, ovo je podsjetnik da krađu vjerodajnica tretiraju kao prolaz prema većim incidentima. Brze zakrpe i dobro praćenje smanjuju prozor u kojem napadači mogu djelovati.
Ključni zaključci
- Microsoft je potvrdio aktivno iskorištavanje Outlook zero-day ranjivosti koja može izložiti Windows autentifikacijske podatke kada se otvori zlonamjerna datoteka.
- Primijenite Microsoftovu zakrpu ili objavljene mjere ublažavanja danas i ažurirajte Windows i Office.
- Onemogućite rizične značajke pregleda gdje je to moguće i provjerite neočekivane privitke prije otvaranja.
- Uključite MFA za svoje račune e-pošte i poslovne račune te promijenite lozinke ako mislite da ste otvorili nešto sumnjivo.
- VPN vas neće zaštititi od Outlook zero-day krađe autentifikacijskih hash-eva. Zakrpe i higijena protiv phishingu hoće.
Provjerite status svojih ažuriranja sada i podijelite ovo s kolegama ili članovima obitelji koji se svakodnevno oslanjaju na Outlook.
