Microsoft anunció que ha corregido una vulnerabilidad de día cero que ciberdelincuentes rusos llevaban meses aprovechando para atacar organizaciones gubernamentales europeas a través de su servicio de correo electrónico Outlook.
Esta vulnerabilidad de día cero es aquella descubierta por ciberdelincuentes antes de que los desarrolladores de dicho sistema operativo, en este caso Windows, hayan creado un parche que la solucione.
Ciberdelincuentes informáticos vinculados al servicio de inteligencia militar ruso (GRU) habrían estado explotando una falla en Outlook desde abril de 2022 y hasta diciembre de ese año, según Bleeping Computer, con el objetivo de atacar a unas 15 organizaciones gubernamentales, militares, de energía y de transporte.
La vulnerabilidad detectada, denominada CVE-2023-23397, fue advertida por el Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) y ofrece privilegios a los ciberdelincuentes para que puedan controlar Outlook.
Concretamente, este grupo de ciberdelincuentes, conocido por varios nombres, como APT28, STRONTIUM, Sednit, Sofacy y Fancy Bear, envió solicitudes a los usuarios para robar ‘hashes’ NTLM — el formato criptográfico en el que se almacenan las contraseñas de usuario en sistemas Windows– de las víctimas.
A continuación, se encargó de forzar a los dispositivos de las instituciones objetivo a autentificarse con protocolos del Bloque de mensajes de un servidor (SMB), que permite que las aplicaciones de un equipo puedan leer y escribir archivos, controlado por el atacante.
Una vez obtenidas las creenciales y mediante una técnica de movimiento lateral, mediante la cual el agente malicioso se propaga desde un punto de entrada al resto de la red, este pudo modificar los permisos de Outlook para requisar correos electrónicos de cuentas concretas.
Esta vulnerabilidad afecta a todas las versiones compatibles de Microsoft Outlook para Windows, pero no a las versiones de este programa para Android, iOS y macOS.
Source link