{"id":486,"date":"2023-03-16T14:07:13","date_gmt":"2023-03-16T17:07:13","guid":{"rendered":"https:\/\/techsecurity.com.br\/?p=486"},"modified":"2023-03-16T14:07:48","modified_gmt":"2023-03-16T17:07:48","slug":"microsoft-corrige-outlook-zero-day-usado-por-hackers-russos-desde-abril-de-2022","status":"publish","type":"post","link":"https:\/\/techsecurity.com.br\/2023\/03\/microsoft-corrige-outlook-zero-day-usado-por-hackers-russos-desde-abril-de-2022\/","title":{"rendered":"Microsoft corrige falha 0day em Outlook usado por hackers russos"},"content":{"rendered":"\n

A Microsoft corrigiu uma vulnerabilidade de 0day do Outlook CVE-2023-23397(https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2023-23397) explorada por um grupo de hackers vinculado ao servi\u00e7o de intelig\u00eancia militar da R\u00fassia GRU para atingir organiza\u00e7\u00f5es europeias.<\/p>\n\n\n\n

A vulnerabilidade de seguran\u00e7a foi explorada em ataques para atingir e violar organiza\u00e7\u00f5es governamentais, militares, de energia e transporte entre meados de abril e dezembro de 2022.<\/p>\n\n\n\n

O grupo de hackers (rastreado como APT28, STRONTIUM, Sednit, Sofacy e Fancy Bear) enviou notas e tarefas maliciosas do Outlook para roubar hashes NTLM por meio de solicita\u00e7\u00f5es de negocia\u00e7\u00e3o NTLM, for\u00e7ando os dispositivos dos alvos a se autenticarem em compartilhamentos SMB controlados pelo invasor.<\/p>\n\n\n\n

As credenciais roubadas foram usadas para movimenta\u00e7\u00e3o lateral nas redes das v\u00edtimas e para alterar as permiss\u00f5es da pasta da caixa de correio do Outlook, uma t\u00e1tica que permitia a exfiltra\u00e7\u00e3o de e-mail para contas espec\u00edficas.<\/p>\n\n\n\n

EoP cr\u00edtico no Outlook para Windows<\/p>\n\n\n\n

A vulnerabilidade (CVE-2023-23397) foi relatada pelo CERT-UA (Equipe de Resposta a Emerg\u00eancias de Computadores da Ucr\u00e2nia) e \u00e9 uma falha cr\u00edtica de seguran\u00e7a de eleva\u00e7\u00e3o de privil\u00e9gio do Outlook que pode ser explorada sem intera\u00e7\u00e3o do usu\u00e1rio em ataques de baixa complexidade.<\/p>\n\n\n\n

Atores de amea\u00e7as podem explor\u00e1-lo enviando mensagens com propriedades MAPI estendidas contendo caminhos UNC para um compartilhamento SMB (TCP 445) sob seu controle.<\/p>\n\n\n\n

“O invasor pode explorar essa vulnerabilidade enviando um e-mail especialmente criado que \u00e9 acionado automaticamente quando \u00e9 recuperado e processado pelo cliente Outlook. Isso pode levar \u00e0 explora\u00e7\u00e3o ANTES de o e-mail ser visualizado no painel de visualiza\u00e7\u00e3o”<\/em>, diz a Microsoft em um comunicado de seguran\u00e7a publicado hoje.<\/p>\n\n\n\n

\u201cA conex\u00e3o com o servidor SMB remoto envia a mensagem de negocia\u00e7\u00e3o NTLM do usu\u00e1rio, que o invasor pode retransmitir para autentica\u00e7\u00e3o em outros sistemas que suportam autentica\u00e7\u00e3o NTLM\u201d<\/em>, explica Redmond em uma postagem de blog separada.<\/p>\n\n\n\n

CVE-2023-23397 afeta todas as vers\u00f5es com suporte do Microsoft Outlook para Windows, mas n\u00e3o afeta as vers\u00f5es do Outlook para Android, iOS ou macOS.<\/p>\n\n\n\n

Al\u00e9m disso, como os servi\u00e7os online como o Outlook na Web e o Microsoft 365 n\u00e3o oferecem suporte \u00e0 autentica\u00e7\u00e3o NTLM, eles n\u00e3o s\u00e3o vulner\u00e1veis a ataques que exploram essa vulnerabilidade de retransmiss\u00e3o NTLM.<\/p>\n\n\n\n

A Microsoft recomenda corrigir imediatamente o CVE-2023-23397 para atenuar essa vulnerabilidade e impedir qualquer ataque recebido.<\/p>\n\n\n\n

A empresa tamb\u00e9m aconselha adicionar usu\u00e1rios ao grupo Protected Users no Active Directory e bloquear o SMB de sa\u00edda (porta TCP 445) se o patch n\u00e3o for imediatamente poss\u00edvel, o que pode limitar o impacto do CVE-2023-23397.<\/p>\n\n\n\n

Script de mitiga\u00e7\u00e3o e direcionamento<\/p>\n\n\n\n

A Microsoft pede aos clientes que corrijam imediatamente seus sistemas contra CVE-2023-23397 ou adicionem usu\u00e1rios ao grupo de usu\u00e1rios protegidos no Active Directory e bloqueiem o SMB de sa\u00edda (porta TCP 445) como uma mitiga\u00e7\u00e3o tempor\u00e1ria para minimizar o impacto dos ataques.<\/p>\n\n\n\n

Redmond tamb\u00e9m lan\u00e7ou um script PowerShell dedicado para ajudar os administradores a verificar se algum usu\u00e1rio em seu ambiente Exchange foi alvo dessa vulnerabilidade do Outlook, que pode ser encontrado em https:\/\/microsoft.github.io\/CSS-Exchange\/Security\/CVE-2023-23397\/<\/a><\/p>\n\n\n\n

Ele “verifica os itens de mensagens do Exchange (correio, calend\u00e1rio e tarefas) para ver se uma propriedade \u00e9 preenchida com um caminho UNC”<\/em>, diz a Microsoft.<\/p>\n\n\n\n

“Se necess\u00e1rio, os administradores podem usar este script para limpar a propriedade de itens maliciosos ou at\u00e9 mesmo excluir os itens permanentemente.”<\/em><\/p>\n\n\n\n

Este script tamb\u00e9m permite modificar ou excluir mensagens potencialmente maliciosas se forem encontradas no Exchange Server auditado quando executadas no modo de limpeza.<\/p>\n\n\n\n

Al\u00e9m da vulnerabilidade do outlook foram identificadas nove vulnerabilidades cr\u00edticas que permitem a execu\u00e7\u00e3o remota de c\u00f3digo, nega\u00e7\u00e3o de servi\u00e7o ou ataques de eleva\u00e7\u00e3o de privil\u00e9gios. Essas falhas de seguran\u00e7a s\u00e3o consideradas cr\u00edticas porque podem permitir que um atacante controle remotamente o sistema afetado ou comprometa a integridade dos dados armazenados.<\/p>\n\n\n\n

Os patches KB5023696 e KB5023697 do Windows 10 est\u00e3o sendo lan\u00e7ados para tratar quest\u00f5es de sistema e seguran\u00e7a em v\u00e1rias vers\u00f5es do sistema operacional, incluindo o Windows Server 2016. Essas atualiza\u00e7\u00f5es s\u00e3o obrigat\u00f3rias e ser\u00e3o instaladas automaticamente por meio do Windows Update, a menos que o usu\u00e1rio tenha realizado uma instala\u00e7\u00e3o modificada ou bloqueada. Al\u00e9m disso, uma pequena corre\u00e7\u00e3o de seguran\u00e7a e hiperlinks no Excel foi disponibilizada para o Windows 10 1507 por meio do patch KB5023713.<\/p>\n\n\n\n

O n\u00famero de bugs em cada categoria de vulnerabilidade \u00e9 listado abaixo:<\/p>\n\n\n\n