Microsoft выпустила новое руководство, которое поможет пользователям определить, пытался ли злоумышленник украсть конфиденциальные данные, воспользовавшись недавно исправленной уязвимостью нулевого дня, обнаруженной в Outlook почтовый клиент.

Уязвимость отслеживается как CVE-2023-23397 и описывается как уязвимость безопасности, связанная с повышением привилегий. в Windows, что позволяет злоумышленникам красть хэши NTLM без вмешательства жертвы на их стороне конечной точки. Атака называется NTLM-relay атакой с нулевым щелчком мыши.

Tarlogic описывает хэши NTLM как «криптографические форматы», в которых Windows хранит пароли пользователей. Эти хэши хранятся в диспетчере учетных записей безопасности (SAM) или в файле NTDS контроллера домена. «Они являются фундаментальной частью механизма, используемого для аутентификации пользователя с помощью различных протоколов связи», — говорится в сообщении.

Множественные признаки эксплуатации

Чтобы воспользоваться уязвимостью и украсть эти хэши, злоумышленник может отправить специально созданное сообщение с расширенными свойствами MAPI. Они будут содержать пути UNC (пути универсальных соглашений об именах, используемые для доступа к сетевым ресурсам) к общим ресурсам блока сообщений сервера (SMB), контролируемым злоумышленником.

Теперь вернемся к тому, что сделала Microsoft: софтверный гигант из Редмонда утверждает, что существует множество признаков эксплуатации, которые могут анализировать ИТ-команды: данные телеметрии от брандмауэров, прокси-серверов, инструментов VPN, журналы шлюза RDP, подпись Azure Active Directory. журналы -in для пользователей Exchange Online или журналы IIS для Exchange Server.

Подробнее

> Последний вторник исправления Microsoft уже здесь - исправляет многочисленные недостатки, некоторые 'критическое'

> Новая уязвимость Microsoft Exchange используется для атаки на серверы

> Вот наш список лучших брандмауэров< /strong>

Они также могут искать такие данные, как журналы событий Windows или данные телеметрии из решений для обнаружения конечных точек и реагирования на них. Злоумышленники часто нацеливаются на пользователей Exchange EWS/OWA и стараются изменить права доступа к папкам почтовых ящиков, чтобы предоставить себе постоянный доступ, что также может потребоваться ИТ-специалистам, заключила Microsoft.

"Для устранения этой уязвимости необходимо установить обновление для системы безопасности Outlook, независимо от того, где размещена ваша почта (например, Exchange Online, Exchange Server или какая-либо другая платформа) или от того, поддерживает ли ваша организация проверку подлинности NTLM", — сообщила команда Microsoft Incident Response.

Наконец, компания также выпустила сценарий, который помогает администраторам автоматизировать процесс и определить, были ли скомпрометированы какие-либо пользователи Exchange.

Через: BleepingComputer