微软已确认，黑客正在积极利用Outlook中的一个零日漏洞。据报道，该漏洞可在用户打开恶意文件时泄露Windows身份验证信息。这种Outlook零日认证哈希窃取值得认真对待，因为被盗数据可能成为引发更大问题的跳板。
目前公布的细节有限，因此本文仅围绕已确认的内容展开，并补充有关凭据窃取原理的一般性背景。对于缺失的具体信息，我们会如实说明。
Outlook零日漏洞如何窃取Windows哈希
已确认的事实：攻击者正在利用Outlook中一个此前未修补的弱点，触发条件是用户打开恶意文件。一旦发生这种情况，Windows身份验证信息就可能暴露给攻击者。
“零日” simply means 该漏洞在修复程序可用之前就已被用于攻击。“已被利用”意味着这不是理论研究成果。真实攻击者目前正在使用它。
身份验证哈希是密码或凭据经过混淆处理后的表示形式，Windows用它来证明你在网络上的身份。一般而言，截获哈希的攻击者可能会尝试离线破解以还原原始密码，或者在某些配置下直接复用该哈希进行身份验证，而无需知道密码本身。来源文章并未说明攻击者针对此特定漏洞采取的是哪条路径，我们也不做猜测。
谁面临风险，以及攻击者能用被盗哈希做什么
根据已确认的细节，任何在Windows上使用Outlook且可能被诱骗打开恶意文件的人都有可能暴露。组织尤其值得关注，因为一名员工的凭据就可能打开通往共享系统、文件服务器和内部应用的大门。
一般而言，被盗凭据材料可能导致：
- 如果哈希被破解且密码较弱或被重复使用，则可能导致账户被接管
- 在企业网络内部横向移动，即利用一个被盗账户访问其他账户
- 从与同一身份关联的邮箱、文件共享和云服务中窃取数据
这些结果是凭据窃取的一般性风险，并非此次特定攻击活动已确认的后果。尽管如此，它们解释了为什么一个“仅仅”泄露身份验证数据的漏洞如此重要。被盗访问权限往往是数据窃取和勒索之前的第一步。关于被盗数据如何转化为对受害者的压力，近期的例子可参阅我们关于政府黑客攻击后柏林索要赎金的报道。
现在该做什么：打补丁、缓解并检查暴露情况
由于此攻击依赖于用户打开恶意文件，你的防御措施需要软件更新与谨慎习惯相结合。
- 应用微软的修复程序或缓解措施。 查阅微软针对此Outlook漏洞的官方安全指南，并在适用于你的版本补丁发布后尽快安装。如果只发布了缓解措施，请立即应用，不要等待。
- 同时更新Windows和Office。 运行Windows Update以及Microsoft 365或Office更新，以免遗漏相关修复。
- 关闭有风险的预览行为。 在组织允许的情况下，禁用附件自动预览，避免打开来自不认识的发件人的文件。
- 将意外附件视为敌意内容。 在打开任何异常内容之前，通过单独渠道与发件人核实，即使邮件看起来来自内部。
- 启用多因素认证（MFA）。 MFA不会消除该漏洞，但它使被盗凭据单独使用时难以奏效。
- 如果怀疑已暴露，请更改密码。 如果你打开了可疑文件，请更改密码并立即告知IT或安全团队，以便他们审查日志中的异常登录。
IT管理员还应留意异常的身份验证尝试和来自工作站的意外出站连接，因为这些可能是凭据被截获的迹象。微软自己的安全公告将提供权威的指标和修复列表。
为什么VPN无法阻止此攻击
鉴于许多隐私建议都围绕VPN展开，有必要直言：VPN并不能防御此问题。VPN加密你的设备与VPN服务器之间的流量并隐藏你的IP地址。它不能阻止你打开恶意文件，也不能修复Outlook内部的漏洞。
此攻击在你自己的机器上，在应用和身份验证层面发挥作用。这里真正重要的是打补丁、谨慎的邮件习惯以及像MFA这样强账户保护。VPN对于其他隐私目标仍然有用，例如保护公共Wi-Fi上的流量，但不应将其误认为对此类漏洞的防护。
这对你意味着什么
如果你在Windows上使用Outlook，请将其视为现实威胁而非未来威胁。实际风险归结为一个时刻：打开了你本不该打开的文件。对意外附件放慢脚步，保持软件最新，并确保你的账户受到MFA保护，这样泄露的凭据就不足以让攻击者入侵。
对企业而言，这提醒人们应将凭据窃取视为引发更大事件的入口。快速打补丁和良好的监控可以缩短攻击者可利用的时间窗口。
关键要点
- 微软已确认Outlook零日漏洞正被积极利用，该漏洞可在打开恶意文件时泄露Windows身份验证信息。
- 今天就应用微软的补丁或已发布的缓解措施，并更新Windows和Office。
- 尽可能禁用有风险的预览功能，并在打开意外附件前进行核实。
- 为你的电子邮件和工作账户启用MFA，如果你认为打开了可疑内容，请更改密码。
- VPN无法保护你免受Outlook零日认证哈希窃取。打补丁和钓鱼防范才可以。
立即检查你的更新状态，并将此分享给每天依赖Outlook的同事或家人。
