A Microsoft megerősítette, hogy a hackerek aktívan kihasználnak egy nulladik napi sebezhetőséget az Outlookban. A jelentés szerint a hiba Windows-hitelesítési adatokat tehet ki, amikor a felhasználó megnyit egy rosszindulatú fájlt. Ezt az Outlook nulladik napi hitelesítési hash-lopást érdemes komolyan venni, mert az ellopott adatok sokkal nagyobb problémák kiindulópontjává válhatnak.
A eddig közzétett részletek korlátozottak, ezért ez a cikk ahhoz tartja magát, amit megerősítettek, és általános háttérinformációkkal egészíti ki azt, hogyan működik a hitelesítési adatok ellopása. Ahol a részletek hiányoznak, ezt jelezzük.
Hogyan lopja el az Outlook nulladik napi sebezhetősége a Windows hash-eket
Ami megerősített: a támadók az Outlook egy korábban javítatlan gyengeségét használják ki, és a kiváltó ok az, hogy a felhasználó megnyit egy rosszindulatú fájlt. Amikor ez megtörténik, a Windows-hitelesítési adatok kikerülhetnek a támadóhoz.
A „nulladik napi” egyszerűen azt jelenti, hogy a hibát már támadásokban használták, mielőtt javítás elérhető lett volna. A „kihasználják” azt jelenti, hogy ez nem elméleti kutatási eredmény. Valódi támadók használják most.
A hitelesítési hash egy jelszó vagy hitelesítő adat összekevert reprezentációja, amelyet a Windows arra használ, hogy igazolja, ki Ön a hálózaton. Általánosságban a hash-t elfogó támadók megpróbálhatják offline feltörni azt az eredeti jelszó visszaállításához, vagy bizonyos beállításokban újra felhasználhatják hitelesítésre anélkül, hogy valaha is ismernék a jelszót. A forráscikk nem mondja meg, hogy a támadók melyik utat választják ennél a konkrét hibánál, és mi nem fogunk találgatni.
Ki van veszélyben, és mit tehetnek a támadók az ellopott hash-ekkel
A megerősített részletek alapján potenciálisan ki van téve mindenki, aki Windows-on használ Outlookot, és rávehető egy rosszindulatú fájl megnyitására. A szervezetek különös figyelmet érdemelnek, mivel egyetlen alkalmazott hitelesítő adatai ajtót nyithatnak megosztott rendszerekhez, fájlszerverekhez és belső alkalmazásokhoz.
Általánosságban az ellopott hitelesítő adatok a következőkhöz vezethetnek:
- Fiókok átvételéhez, ha egy hash-t feltörnek, és a jelszó gyenge vagy újrahasznált
- Oldalirányú mozgáshoz egy vállalati hálózaton belül, ahol egy kompromittált fiókot használnak mások eléréséhez
- Adatlopáshoz postafiókokból, fájlmegosztásokból és felhőszolgáltatásokból, amelyek ugyanahhoz az identitáshoz kapcsolódnak
Ezek a hitelesítési adatok ellopásának általános kockázatai, nem ennek a konkrét kampánynak a megerősített eredményei. Mégis megmagyarázzák, miért számít egy hiba, amely „csak” hitelesítési adatokat szivárogtat ki. Az ellopott hozzáférés gyakran az első lépés az adatlopás és a zsarolás előtt. A közelmúltbeli példáért arról, hogyan válik az ellopott adat nyomássá az áldozatra, lásd a berlini váltságdíj-követelésről szóló tudósításunkat egy kormányzati hack után.
Mit tegyen most: javítson, enyhítsen és ellenőrizze a kitettséget
Mivel ez a támadás attól függ, hogy a felhasználó megnyit egy rosszindulatú fájlt, a védekezés a szoftverfrissítések és az óvatos szokások keveréke.
- Alkalmazza a Microsoft javítását vagy enyhítéseit. Ellenőrizze a Microsoft hivatalos biztonsági útmutatóját ehhez az Outlook sebezhetőséghez, és telepítse a javítást, amint elérhető az Ön verziójához. Ha csak enyhítéseket tettek közzé, alkalmazza azokat még ma, ahelyett hogy várna.
- Frissítse a Windows-t és az Office-t együtt. Futtassa a Windows Update-et és a Microsoft 365 vagy Office frissítéseket, hogy ne maradjon le kapcsolódó javításokról.
- Kapcsolja ki a kockázatos előnézeti viselkedést. Ahol a szervezete engedi, tiltsa le a mellékletek automatikus előnézetét, és kerülje az ismeretlen feladóktól érkező fájlok megnyitását.
- Kezelje a váratlan mellékleteket ellenségesként. Ellenőrizze a feladónál egy külön csatornán keresztül, mielőtt bármi szokatlant megnyitna, még akkor is, ha az e-mail belsőnek tűnik.
- Engedélyezze a többfaktoros hitelesítést (MFA). Az MFA nem szünteti meg a hibát, de sokkal nehezebbé teszi az ellopott hitelesítő adatok önálló használatát.
- Változtasson jelszót, ha kitettséget gyanít. Ha megnyitott egy gyanús fájlt, változtassa meg a jelszavát, és azonnal értesítse IT- vagy biztonsági csapatát, hogy átnézhessék a naplókat szokatlan bejelentkezések után.
Az IT-adminisztrátoroknak figyelniük kell a szokatlan hitelesítési kísérletekre és a munkaállomásokról induló váratlan kimenő kapcsolatokra is, mivel ezek a hitelesítő adatok elfogásának jelei lehetnek. A Microsoft saját tanácsadója tartalmazza majd az indikátorok és javítások hiteles listáját.
Miért nem állítja meg egy VPN ezt a támadást
Mivel oly sok adatvédelmi tanács összpontosít a VPN-ekre, érdemes egyenesen fogalmazni: a VPN nem védelem e probléma ellen. A VPN titkosítja a forgalmat az eszköze és a VPN-szerver között, és maszkolja az IP-címét. Nem akadályozza meg abban, hogy megnyisson egy rosszindulatú fájlt, és nem javítja az Outlookon belüli sebezhetőséget.
Ez a támadás alkalmazás- és hitelesítési szinten működik, a saját gépén. Az itt számító megoldások a javítás, az óvatos e-mail-szokások és az erős fiókvédelem, például az MFA. A VPN továbbra is hasznos lehet más adatvédelmi célokra, például a nyilvános Wi-Fi-n zajló forgalom védelmére, de nem szabad összetéveszteni az ehhez hasonló hiba elleni védelemmel.
Mit jelent ez Önnek
Ha Windows-on használ Outlookot, tekintse ezt élő fenyegetésnek, nem jövőbelinek. A gyakorlati kockázat egyetlen pillanatra vezethető vissza: egy olyan fájl megnyitására, amelyet nem lett volna szabad. Lassítson a váratlan mellékleteknél, tartsa naprakészen a szoftverét, és győződjön meg arról, hogy fiókjai MFA-val védettek, hogy egy kiszivárgott hitelesítő adat ne legyen elég a támadónak a bejutáshoz.
A vállalkozások számára ez emlékeztető arra, hogy a hitelesítő adatok ellopását nagyobb incidensek kapujaként kezeljék. A gyors javítás és a jó monitorozás csökkenti azt az ablakot, amellyel a támadók dolgozhatnak.
Fő tanulságok
- A Microsoft megerősítette egy Outlook nulladik napi sebezhetőség aktív kihasználását, amely Windows-hitelesítési adatokat tehet ki, amikor rosszindulatú fájlt nyitnak meg.
- Alkalmazza a Microsoft javítását vagy közzétett enyhítéseit még ma, és frissítse a Windows-t és az Office-t.
- Tiltsa le a kockázatos előnézeti funkciókat, ahol lehetséges, és ellenőrizze a váratlan mellékleteket, mielőtt megnyitná őket.
- Kapcsolja be az MFA-t az e-mail- és munkafiókjaihoz, és változtasson jelszót, ha úgy gondolja, hogy megnyitott valami gyanúsat.
- A VPN nem védi meg az Outlook nulladik napi hitelesítési hash-lopástól. A javítás és az adathalászat elleni higiénia igen.
Ellenőrizze most a frissítési állapotát, és ossza meg ezt azokkal a kollégáival vagy családtagjaival, akik nap mint nap az Outlookra támaszkodnak.
