Пользователи BI.ZONE CESP в безопасности: отражена новая атака по email
В марте 2023 года в Microsoft Outlook обнаружили уязвимость, с помощью которой киберпреступники могут скомпрометировать учетную запись жертвы
Атака приводит к несанкционированной аутентификации.
- Пользователь получает электронное письмо с событием календаря или задачей, которая ссылается на UNC‑путь, контролируемый злоумышленником. Это значение указывается в параметре
PidLidReminderFileParameter— он отвечает за расположение файла и должен воспроизводиться клиентским приложением Microsoft Outlook, когда срабатывает напоминание о событии или задаче в календаре. - Даже если пользователь не подтверждает участие в событии или не принимает задачу, Microsoft Outlook жертвы обращается к нелегитимному серверу.
- Нелегитимный сервер требует аутентификации по NTLM.
- Microsoft Outlook посылает первый NTLM‑пакет с именем жертвы и общей информацией (все в Base64).
- Мошенники получают учетные данные для аутентификации.
Другими словами, при этой атаке злоумышленники генерируют нелегитимный файл с расширением .msg, где указывают следующие параметры и их значения:
PidLidReminderOverride = true;— возможность выставить предпочтения пользовательскому звуковому файлу.PidLidReminderFileParameter = "";— значение, указывающее путь на удаленный сервер мошенников.
Таким образом они организовывают атаку типа NTLM relay с последующим получением NTLM‑хеша и компрометируют учетные данные.
Microsoft уже выпустила специальное обновление, которое обеспечивает защиту от описанной атаки. Но не все пользователи могут им воспользоваться — обновления Microsoft Outlook недоступны в России.
Команда BI.ZONE CESP оперативно разработала дополнение для защиты от новой уязвимости. Оно проверяет письма и вложения в них на предмет использования CVE-2023-23397 еще до того, как они попадут в почтовый ящик пользователя. Дополнение уже автоматически установлено у всех клиентов сервиса, так что их электронную почту злоумышленники скомпрометировать не смогут.