Microsoft подтвердила, что хакеры активно эксплуатируют zero-day уязвимость в Outlook. Согласно отчёту, уязвимость может раскрыть информацию аутентификации Windows, когда пользователь открывает вредоносный файл. К такого рода краже хешей аутентификации через zero-day уязвимость в Outlook стоит отнестись серьёзно, поскольку похищенные данные могут стать трамплином к гораздо более серьёзным проблемам.

Опубликованные на данный момент подробности ограничены, поэтому эта статья придерживается только подтверждённых фактов и добавляет общий контекст о том, как работает кража учётных данных. Там, где конкретика отсутствует, мы об этом говорим.

Как zero-day уязвимость в Outlook крадёт хеши Windows

Что подтверждено: злоумышленники эксплуатируют ранее не исправленную уязвимость в Outlook, а триггером является открытие пользователем вредоносного файла. Когда это происходит, информация аутентификации Windows может быть раскрыта злоумышленнику.

«Zero-day» попросту означает, что уязвимость использовалась в атаках до того, как стало доступно исправление. «Эксплуатируется» означает, что это не теоретическая находка исследователей. Реальные злоумышленники используют её прямо сейчас.

Хеш аутентификации — это зашифрованное представление пароля или учётных данных, которое Windows использует для подтверждения вашей личности в сети. В общем случае злоумышленники, перехватившие хеш, могут попытаться взломать его офлайн, чтобы восстановить исходный пароль, или в некоторых конфигурациях повторно использовать его для аутентификации, вообще не зная пароля. В исходной статье не говорится, какой из этих путей выбирают злоумышленники применительно к данной конкретной уязвимости, и мы не будем гадать.

Кто подвержен риску и что злоумышленники могут сделать с украденными хешами

Исходя из подтверждённых данных, потенциально подвержены риску все, кто использует Outlook на Windows и может быть обманом побуждён открыть вредоносный файл. Организациям следует уделить особое внимание, поскольку учётные данные одного сотрудника могут открыть двери к общим системам, файловым серверам и внутренним приложениям.

В общих чертах, похищенные учётные данные могут привести к:

  • Захвату учётной записи, если хеш взломан, а пароль слабый или повторно используется
  • Латеральному перемещению внутри корпоративной сети, где одна скомпрометированная учётная запись используется для доступа к другим
  • Краже данных из почтовых ящиков, файловых ресурсов и облачных сервисов, связанных с той же учётной записью

Эти последствия являются общими рисками кражи учётных данных, а не подтверждёнными результатами данной конкретной кампании. Тем не менее они объясняют, почему уязвимость, которая «всего лишь» раскрывает данные аутентификации, имеет значение. Похищенный доступ часто является первым шагом перед кражей данных и вымогательством. Свежий пример того, как украденные данные превращаются в давление на жертву, смотрите в нашем материале о требовании выкупа в Берлине после взлома правительственных систем.

Что делать сейчас: патчить, смягчать и проверять подверженность

Поскольку эта атака зависит от открытия пользователем вредоносного файла, ваша защита — это сочетание обновлений программного обеспечения и осторожных привычек.

  1. Примените исправление или меры защиты от Microsoft. Проверьте официальные рекомендации Microsoft по безопасности для данной уязвимости Outlook и установите патч, как только он станет доступен для вашей версии. Если опубликованы только меры защиты, примените их сегодня, а не ждите.
  2. Обновляйте Windows и Office вместе. Запустите Windows Update и обновления Microsoft 365 или Office, чтобы не пропустить связанные исправления.
  3. Отключите рискованное поведение предпросмотра. Там, где ваша организация это позволяет, отключите автоматический предпросмотр вложений и избегайте открытия файлов от незнакомых отправителей.
  4. Относитесь к неожиданным вложениям как к враждебным. Проверьте отправителя через отдельный канал, прежде чем открывать что-либо необычное, даже если письмо выглядит внутренним.
  5. Включите многофакторную аутентификацию (MFA). MFA не устранит уязвимость, но значительно затруднит использование украденных учётных данных самих по себе.
  6. Смените пароли, если подозреваете компрометацию. Если вы открыли подозрительный файл, смените пароль и немедленно сообщите вашей ИТ-или службе безопасности, чтобы они могли проверить журналы на предмет необычных входов.

ИТ-администраторам также следует следить за необычными попытками аутентификации и неожиданными исходящими подключениями с рабочих станций, поскольку они могут быть признаками перехвата учётных данных. В официальном бюллетене Microsoft будет авторитетный список индикаторов и исправлений.

Почему VPN не остановит эту атаку

При таком количестве советов по приватности, сосредоточенных на VPN, стоит сказать прямо: VPN не является защитой от этой проблемы. VPN шифрует трафик между вашим устройством и VPN-сервером и маскирует ваш IP-адрес. Он не мешает вам открыть вредоносный файл и не устраняет уязвимость внутри Outlook.

Эта атака работает на уровне приложения и аутентификации, на вашей собственной машине. Исправления, которые здесь важны, — это патчинг, осторожные привычки работы с электронной почтой и надёжная защита учётных записей, такая как MFA. VPN по-прежнему может быть полезен для других целей приватности, например для защиты трафика в публичных Wi-Fi сетях, но его не следует путать с защитой от подобной уязвимости.

Что это значит для вас

Если вы используете Outlook на Windows, исходите из того, что это реальная угроза, а не будущая. Практический риск сводится к одному моменту: открытию файла, который вам не следовало открывать. Замедлитесь при неожиданных вложениях, поддерживайте программное обеспечение в актуальном состоянии и убедитесь, что ваши учётные записи защищены с помощью MFA, чтобы утечки учётных данных было недостаточно для доступа злоумышленника.

Для бизнеса это напоминание о том, что кражу учётных данных следует рассматривать как шлюз к более крупным инцидентам. Быстрый патчинг и хороший мониторинг сокращают окно, в котором могут действовать злоумышленники.

Ключевые выводы

  • Microsoft подтвердила активную эксплуатацию zero-day уязвимости в Outlook, которая может раскрыть информацию аутентификации Windows при открытии вредоносного файла.
  • Примените патч Microsoft или опубликованные меры защиты сегодня и обновите Windows и Office.
  • Отключите рискованные функции предпросмотра, где это возможно, и проверяйте неожиданные вложения перед их открытием.
  • Включите MFA для своей электронной почты и рабочих учётных записей и смените пароли, если считаете, что открыли что-то подозрительное.
  • VPN не защитит вас от кражи хешей аутентификации через zero-day уязвимость в Outlook. Патчинг и фишинговая гигиена защитят.

Проверьте статус обновлений прямо сейчас и поделитесь этой информацией с коллегами или членами семьи, которые ежедневно пользуются Outlook.