Microsoft підтвердила, що хакери активно використовують вразливість нульового дня в Outlook. Згідно з повідомленням, ця вада може розкрити інформацію автентифікації Windows, коли користувач відкриває шкідливий файл. До такої крадіжки хешів автентифікації через zero-day в Outlook варто ставитися серйозно, адже викрадені дані можуть стати трампліном до значно більших проблем.

Опубліковані наразі подробиці обмежені, тому ця стаття дотримується лише підтверджених фактів і додає загальний контекст про те, як працює крадіжка облікових даних. Там, де конкретика відсутня, ми про це говоримо.

Як zero-day в Outlook викрадає хеші Windows

Що підтверджено: зловмисники використовують раніше не виправлену вразливість в Outlook, а тригером є відкриття користувачем шкідливого файлу. Коли це відбувається, інформація автентифікації Windows може бути розкрита зловмиснику.

«Zero-day» просто означає, що ваду використовували в атаках ще до того, як з'явився фікс. «Експлуатують» означає, що це не теоретична знахідка дослідників. Реальні зловмисники використовують її вже зараз.

Хеш автентифікації — це зашифроване подання пароля або облікових даних, яке Windows використовує, щоб підтвердити, хто ви в мережі. Загалом зловмисники, які перехопили хеш, можуть спробувати зламати його офлайн, щоб відновити оригінальний пароль, або в деяких конфігураціях повторно використати його для автентифікації, навіть не знаючи пароля. У вихідній статті не вказано, який із цих шляхів обирають зловмисники для цієї конкретної вади, і ми не будемо здогадуватися.

Хто в зоні ризику і що зловмисники можуть зробити з викраденими хешами

Виходячи з підтверджених деталей, потенційно вразливий кожен, хто використовує Outlook на Windows і кого можна обманом змусити відкрити шкідливий файл. Організаціям варто приділити особливу увагу, адже облікові дані одного співробітника можуть відкрити двері до спільних систем, файлових серверів і внутрішніх застосунків.

У загальних рисах, викрадені облікові дані можуть призвести до:

  • Захоплення облікового запису, якщо хеш зламано, а пароль слабкий або повторно використовується
  • Переміщення всередині корпоративної мережі, де один скомпрометований обліковий запис використовується для доступу до інших
  • Крадіжки даних із поштових скриньок, файлових ресурсів і хмарних сервісів, пов'язаних з тією ж ідентичністю

Ці наслідки є загальними ризиками крадіжки облікових даних, а не підтвердженими результатами саме цієї кампанії. Тим не менш, вони пояснюють, чому вада, яка «лише» витікає дані автентифікації, має значення. Викрадений доступ часто є першим кроком перед крадіжкою даних і здирництвом. Щодо нещодавнього прикладу того, як викрадені дані перетворюються на тиск на жертву, дивіться наш матеріал про вимогу викупу в Берліні після злому державних систем.

Що робити зараз: патчити, пом'якшувати та перевіряти схильність до ризику

Оскільки ця атака залежить від відкриття користувачем шкідливого файлу, ваш захист — це поєднання оновлень програмного забезпечення та обережних звичок.

  1. Застосуйте виправлення або пом'якшення від Microsoft. Перевірте офіційні рекомендації Microsoft щодо безпеки для цієї вразливості Outlook і встановіть патч, щойно він стане доступним для вашої версії. Якщо опубліковано лише пом'якшення, застосуйте їх сьогодні, а не чекайте.
  2. Оновлюйте Windows і Office разом. Запустіть Windows Update та оновлення Microsoft 365 або Office, щоб не пропустити пов'язані виправлення.
  3. Вимкніть ризиковану поведінку попереднього перегляду. Там, де це дозволяє ваша організація, вимкніть автоматичний попередній перегляд вкладень і уникайте відкриття файлів від невідомих відправників.
  4. Ставтеся до неочікуваних вкладень як до ворожих. Перевірте у відправника через окремий канал, перш ніж відкривати щось незвичне, навіть якщо лист виглядає внутрішнім.
  5. Увімкніть багатофакторну автентифікацію (MFA). MFA не усуне ваду, але значно ускладнить використання викрадених облікових даних окремо.
  6. Змініть паролі, якщо підозрюєте розкриття. Якщо ви відкрили підозрілий файл, змініть пароль і негайно повідомте свою ІТ- або службу безпеки, щоб вони могли переглянути журнали на предмет незвичайних входів.

ІТ-адміністраторам також слід стежити за незвичайними спробами автентифікації та неочікуваними вихідними з'єднаннями з робочих станцій, оскільки це можуть бути ознаки перехоплення облікових даних. Авторитетний перелік індикаторів і виправлень буде в офіційній рекомендації Microsoft.

Чому VPN не зупинить цю атаку

Оскільки стільки порад щодо приватності зосереджено на VPN, варто сказати прямо: VPN не є захистом від цієї проблеми. VPN шифрує трафік між вашим пристроєм і VPN-сервером та маскує вашу IP-адресу. Він не заважає вам відкрити шкідливий файл і не виправляє вразливість усередині Outlook.

Ця атака працює на рівні застосунку та автентифікації, на вашій власній машині. Виправлення, які тут мають значення, — це патчинг, обережні звички поводження з електронною поштою та надійний захист облікового запису, як-от MFA. VPN усе ще може бути корисним для інших цілей приватності, наприклад для захисту трафіку в публічних Wi-Fi мережах, але його не слід помилково вважати захистом від такої вади.

Що це означає для вас

Якщо ви використовуєте Outlook на Windows, вважайте, що це реальна загроза, а не майбутня. Практичний ризик зводиться до одного моменту: відкриття файлу, який вам не слід було відкривати. Уповільніться з неочікуваними вкладеннями, тримайте програмне забезпечення актуальним і переконайтеся, що ваші облікові записи захищені MFA, щоб витоку облікових даних було недостатньо для входу зловмисника.

Для бізнесу це нагадування ставитися до крадіжки облікових даних як до воріт до більших інцидентів. Швидкий патчинг і якісний моніторинг звужують вікно, у якому зловмисники можуть діяти.

Ключові висновки

  • Microsoft підтвердила активну експлуатацію zero-day в Outlook, яка може розкрити інформацію автентифікації Windows, коли відкрито шкідливий файл.
  • Застосуйте патч або опубліковані пом'якшення Microsoft сьогодні та оновіть Windows і Office.
  • Вимкніть ризиковані функції попереднього перегляду, де це можливо, і перевіряйте неочікувані вкладення перед відкриттям.
  • Увімкніть MFA для своєї електронної пошти та робочих облікових записів і змініть паролі, якщо вважаєте, що відкрили щось підозріле.
  • VPN не захистить вас від крадіжки хешів автентифікації через zero-day в Outlook. Патчинг і гігієна щодо фішингу — захистять.

Перевірте статус оновлень зараз і поділіться цим із колегами чи родичами, які щодня покладаються на Outlook.