Aggiornamenti recenti Giugno 6th, 2023 9:31 AM
Mar 21, 2023 Dario Orlandi Apt, In evidenza, Minacce, News, RSS, Vulnerabilità 0
Microsoft ha recentemente corretto una vulnerabilità in Microsoft Outlook, identificata come CVE-2023-23397, che potrebbe consentire a un attaccante di eseguire un’escalation dei privilegi.
È stata valutata con un livello di gravità 9.8 e coinvolge tutte le versioni di Microsoft Outlook per Windows (sono quindi esclusi i client mobile e la versione macOS) connesse a un server Exchange. La vulnerabilità consente agli aggressori di rubare gli hash di autenticazione NTLM inviando note o attività di Outlook.
Questi elementi attivano automaticamente l’exploit quando vengono elaborati dal client, il che potrebbe portare alla compromissione anche senza che l’e-mail venga visualizzata nel riquadro di anteprima. Questo significa che il bersaglio non deve neppure aprire il messaggio per essere compromesso.
Gli attaccanti possono costruire email per far sì che il client della vittima si connetta a un indirizzo UNC esterno, comunicando il l’hash NTLMv2; questa informazione può poi essere utilizzata in altri servizi, consentendo agli attaccanti di autenticarsi al posto della vittima.
Nei giorni immediatamente successivi alla divulgazione del problema sono stati pubblicati diversi exploit proof-of-concept, che certamente saranno serviti come spunto alla criminalità informatica per realizzare attacchi; il bug è infatti particolarmente pericoloso, perché non è richiesta nessuna azione da parte dell’utente.
Fonte: MDSec
Secondo Microsoft, un attaccante legato alla Russia ha sfruttato questa vulnerabilità per colpire diverse organizzazioni europee nei settori governativo, dei trasporti, dell’energia e militare.
Si ritiene che il gruppo dietro gli attacchi sia APT28, che è stato collegato alla Direzione principale dello Stato Maggiore delle Forze Armate della Federazione Russa (GRU).
Secondo le indiscrezioni emerse, fino a 15 organizzazioni potrebbero essere state colpite utilizzando questa vulnerabilità quando era ancora zero-day, con attacchi registrati da aprile fino a dicembre dello scorso anno.
Dopo aver ottenuto l’accesso, gli attaccanti utilizzano spesso i framework open source Impacket e PowerShell Empire per estendere il controllo e raggiungere i sistemi più preziosi presenti in rete.
Naturalmente, la strada maestra per risolvere la vulnerabilità rimane l’applicazione immediata degli aggiornamenti forniti da Microsoft; se però questa soluzione non è immediatamente percorribile, una mitigazione arriva da Daniel Hofmann, CEO of Hornetsecurity, che consiglia di bloccare il traffico TCP in uscita verso Internet attraverso la porta 445/SMB.
“Questa azione impedisce la trasmissione di messaggi di autenticazione NTLM a condivisioni file remote, contribuendo a risolvere CVE-2023-23397″, ha spiegato Hofmann.
Daniel Hofmann, CEO of Hornetsecurity
Le aziende devono inoltre aggiungere gli utenti al gruppo “Utenti protetti” in Active Directory per impedire l’uso di NTLM come meccanismo di autenticazione.
Inoltre, Microsoft ha reso disponibile uno script per identificare e modificare (o eliminare) i messaggi Exchange che contengono percorsi UNC nelle proprietà, e consiglia agli amministratori di eseguirlo per verificare che l’organizzazione è stata compromessa tramite questa vulnerabilità.
Molti ricercatori e dirigenti di aziende specializzate nella sicurezza IT hanno commentato i rischi e la portata di questa vulnerabilità, che è già stata battezzata come il bug dell’anno.
Le motivazioni per considerarla almeno come un serio contendente sono molteplici: innanzi tutto, ha un impatto potenziale su aziende e singoli utenti di ogni genere, è laboriosa da risolvere (bisogna applicare gli aggiornamenti a ogni singolo client installato) e non è influenzata neppure dalla cautela degli utenti.
La superficie di attacco è enorme: la base di utenti di Outlook desktop è infatti molto vasta, e la vulnerabilità è molto facile da sfruttare, anche grazie alla disponibilità di diversi proof of concept.
Mag 26, 2023 0
Mag 25, 2023 0
Mag 24, 2023 0
Apr 21, 2023 0
Giu 06, 2023 0
Giu 05, 2023 0
Giu 01, 2023 0
Mag 31, 2023 0
Giu 06, 2023 0
Le autorità federali degli Stati Uniti, insieme...Giu 05, 2023 0
Lo State of Ransomware Report 2023 di Sophos ha evidenziato...Giu 01, 2023 0
Kaspersky ha pubblicato il suo Incident Response report,...Mag 31, 2023 0
A margine del Security Day, il principale evento dedicato...Mag 31, 2023 0
Lo scorso 3 maggio Discord ha annunciato...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Giu 06, 2023 0
Le autorità federali degli Stati Uniti, insieme...Mag 31, 2023 0
Lo scorso 3 maggio Discord ha annunciato...Mag 30, 2023 0
Mandiant ha individuato un nuovo malware creato per colpire...Mag 29, 2023 0
La carenza di esperti di sicurezza ha portato le imprese...Mag 26, 2023 0
Il ricercatore di sicurezza vdohney ha individuato e...