Microsoft potwierdził, że hakerzy aktywnie wykorzystują lukę zero-day w Outlooku. Zgodnie z raportem, podatność może ujawnić informacje uwierzytelniające Windows, gdy użytkownik otworzy złośliwy plik. Ten rodzaj kradzieży hashy uwierzytelniania przez zero-day w Outlooku zasługuje na poważne potraktowanie, ponieważ skradzione dane mogą stać się odskocznią do znacznie większych problemów.

Opublikowane dotychczas szczegóły są ograniczone, więc ten artykuł trzyma się tego, co zostało potwierdzone, i dodaje ogólne tło dotyczące działania kradzieży danych uwierzytelniających. Tam, gdzie brakuje konkretów, mówimy o tym wprost.

Jak zero-day w Outlooku kradnie hashe Windows

Co zostało potwierdzone: atakujący wykorzystują wcześniej niezałataną słabość w Outlooku, a wyzwalaczem jest otwarcie złośliwego pliku przez użytkownika. Gdy to nastąpi, informacje uwierzytelniające Windows mogą zostać ujawnione atakującemu.

„Zero-day" oznacza po prostu, że luka była wykorzystywana w atakach, zanim dostępna była poprawka. „Wykorzystywana" oznacza, że nie jest to teoretyczne odkrycie badawcze. Prawdziwi atakujący używają jej teraz.

Hash uwierzytelniania to zaszyfrowana reprezentacja hasła lub danych uwierzytelniających, której Windows używa do potwierdzenia, kim jesteś w sieci. Ogólnie rzecz biorąc, atakujący, którzy przechwycą hash, mogą próbować złamać go offline, aby odzyskać oryginalne hasło, lub w niektórych konfiguracjach użyć go ponownie do uwierzytelnienia bez znajomości hasła. Artykuł źródłowy nie mówi, którą z tych ścieżek obierają atakujący w przypadku tej konkretnej luki, i nie będziemy zgadywać.

Kto jest zagrożony i co atakujący mogą zrobić ze skradzionymi hashami

Na podstawie potwierdzonych szczegółów, każdy, kto używa Outlooka w systemie Windows i mógłby zostać nakłoniony do otwarcia złośliwego pliku, jest potencjalnie narażony. Organizacje zasługują na szczególną uwagę, ponieważ dane uwierzytelniające jednego pracownika mogą otworzyć drzwi do współdzielonych systemów, serwerów plików i aplikacji wewnętrznych.

Ogólnie rzecz biorąc, skradzione dane uwierzytelniające mogą prowadzić do:

  • Przejęcia konta, jeśli hash zostanie złamany, a hasło jest słabe lub używane ponownie
  • Ruchu bocznego wewnątrz sieci firmowej, gdzie jedno przejęte konto jest wykorzystywane do dotarcia do innych
  • Kradzieży danych ze skrzynek pocztowych, udziałów plików i usług w chmurze powiązanych z tą samą tożsamością

Te skutki są ogólnymi ryzykami kradzieży danych uwierzytelniających, a nie potwierdzonymi rezultatami tej konkretnej kampanii. Niemniej jednak wyjaśniają, dlaczego luka, która „tylko" ujawnia dane uwierzytelniające, ma znaczenie. Skradziony dostęp jest często pierwszym krokiem przed kradzieżą danych i wymuszeniem. Najnowszy przykład tego, jak skradzione dane zamieniają się w presję na ofiarę, znajdziesz w naszym artykule o żądaniu okupu w Berlinie po ataku hakerskim na rząd.

Co zrobić teraz: załataj, złagodź i sprawdź ekspozycję

Ponieważ ten atak zależy od otwarcia złośliwego pliku przez użytkownika, Twoje zabezpieczenia to mieszanka aktualizacji oprogramowania i ostrożnych nawyków.

  1. Zastosuj poprawkę lub środki zaradcze Microsoftu. Sprawdź oficjalne wytyczne bezpieczeństwa Microsoftu dotyczące tej luki w Outlooku i zainstaluj poprawkę, gdy tylko będzie dostępna dla Twojej wersji. Jeśli opublikowano tylko środki zaradcze, zastosuj je dzisiaj, zamiast czekać.
  2. Aktualizuj Windows i Office razem. Uruchom Windows Update oraz aktualizacje Microsoft 365 lub Office, aby nie przegapić powiązanych poprawek.
  3. Wyłącz ryzykowne zachowanie podglądu. Tam, gdzie Twoja organizacja na to pozwala, wyłącz automatyczny podgląd załączników i unikaj otwierania plików od nieznanych nadawców.
  4. Traktuj nieoczekiwane załączniki jako wrogie. Zweryfikuj z nadawcą za pośrednictwem oddzielnego kanału, zanim otworzysz cokolwiek nietypowego, nawet jeśli e-mail wygląda na wewnętrzny.
  5. Włącz uwierzytelnianie wieloskładnikowe (MFA). MFA nie usunie luki, ale znacznie utrudni użycie skradzionych danych uwierzytelniających samodzielnie.
  6. Zmień hasła, jeśli podejrzewasz ekspozycję. Jeśli otworzyłeś podejrzany plik, zmień hasło i natychmiast poinformuj swój zespół IT lub bezpieczeństwa, aby mógł przejrzeć logi pod kątem nietypowych logowań.

Administratorzy IT powinni również obserwować nietypowe próby uwierzytelniania i nieoczekiwane połączenia wychodzące ze stacji roboczych, ponieważ mogą to być oznaki przechwytywania danych uwierzytelniających. Własny biuletyn Microsoftu będzie zawierał autorytatywną listę wskaźników i poprawek.

Dlaczego VPN nie powstrzyma tego ataku

Przy tak wielu poradach dotyczących prywatności skoncentrowanych na VPN, warto powiedzieć wprost: VPN nie jest obroną przed tym problemem. VPN szyfruje ruch między Twoim urządzeniem a serwerem VPN i maskuje Twój adres IP. Nie powstrzymuje Cię przed otwarciem złośliwego pliku i nie naprawia luki w Outlooku.

Ten atak działa na poziomie aplikacji i uwierzytelniania, na Twoim własnym komputerze. Poprawki, które mają tu znaczenie, to łatanie, ostrożne nawyki związane z pocztą e-mail i silna ochrona konta, taka jak MFA. VPN może być nadal przydatny do innych celów związanych z prywatnością, takich jak ochrona ruchu w publicznych sieciach Wi-Fi, ale nie należy go mylić z ochroną przed taką luką.

Co to oznacza dla Ciebie

Jeśli używasz Outlooka w systemie Windows, zakładaj, że to realne zagrożenie, a nie przyszłe. Praktyczne ryzyko sprowadza się do jednego momentu: otwarcia pliku, którego nie powinieneś otwierać. Zwolnij tempo przy nieoczekiwanych załącznikach, utrzymuj aktualność oprogramowania i upewnij się, że Twoje konta są chronione przez MFA, aby wyciekłe dane uwierzytelniające nie wystarczyły atakującemu do wejścia.

Dla firm jest to przypomnienie, aby traktować kradzież danych uwierzytelniających jako bramę do większych incydentów. Szybkie łatanie i dobre monitorowanie zmniejszają okno, w którym atakujący mogą działać.

Najważniejsze wnioski

  • Microsoft potwierdził aktywne wykorzystywanie zero-day w Outlooku, który może ujawnić informacje uwierzytelniające Windows po otwarciu złośliwego pliku.
  • Zastosuj poprawkę Microsoftu lub opublikowane środki zaradcze już dziś i zaktualizuj Windows i Office.
  • Wyłącz ryzykowne funkcje podglądu, gdzie to możliwe, i zweryfikuj nieoczekiwane załączniki przed ich otwarciem.
  • Włącz MFA dla swoich kont e-mail i służbowych oraz zmień hasła, jeśli uważasz, że otworzyłeś coś podejrzanego.
  • VPN nie ochroni Cię przed kradzieżą hashy uwierzytelniania przez zero-day w Outlooku. Ochroni Cię łatanie i higiena phishingowa.

Sprawdź teraz status aktualizacji i udostępnij to współpracownikom lub członkom rodziny, którzy codziennie korzystają z Outlooka.