La unidad de Inteligencia de Amenazas de Microsoft emitió una advertencia hoy sobre el actor patrocinado por el estado ruso APT28 (también conocido como "Fancybear" o "Strontium") que está explotando activamente la vulnerabilidad CVE-2023-23397 en Outlook para secuestrar cuentas de Microsoft Exchange y robar información confidencial.
Las entidades objetivo incluyen gobiernos, energía, transporte y otras organizaciones clave en los Estados Unidos, Europa y el Medio Oriente.
El gigante tecnológico también destacó la explotación de otras vulnerabilidades con exploits públicamente disponibles en los mismos ataques, incluyendo CVE-2023-38831 en WinRAR y CVE-2021-40444 en Windows MSHTML.
Antecedentes de la explotación de la falla en Outlook
CVE-2023-23397 es una vulnerabilidad crítica de elevación de privilegios (EoP) en Outlook en Windows, que Microsoft corrigió como día cero en el Patch Tuesday de marzo de 2023.
La revelación de la falla vino con la revelación de que APT28 la había estado explotando desde abril de 2022 a través de notas de Outlook especialmente diseñadas para robar hashes NTLM, forzando a los dispositivos objetivo a autenticarse en comparticiones SMB controladas por el atacante sin requerir interacción del usuario.
Al elevar sus privilegios en el sistema, lo cual se demostró que era sencillo, APT28 realizó un movimiento lateral en el entorno de la víctima y cambió los permisos del buzón de Outlook para llevar a cabo el robo de correos electrónicos dirigidos.
A pesar de la disponibilidad de actualizaciones de seguridad y recomendaciones de mitigación, la superficie de ataque seguía siendo significativa, y un bypass de la solución (CVE-2023-29324) que siguió en mayo empeoró la situación.
En junio, Recorded Future advirtió que APT28 probablemente aprovechó la falla en Outlook contra organizaciones clave de Ucrania.
En octubre, la Agencia de Ciberseguridad de Francia (ANSSI) reveló que los hackers rusos utilizaron el ataque de clic cero contra entidades gubernamentales, empresas, universidades, institutos de investigación y grupos de reflexión en Francia.
Ataques aún en curso
La última advertencia de Microsoft destaca que los hackers del GRU siguen utilizando CVE-2023-38831 en los ataques, lo que significa que aún hay sistemas vulnerables a la crítica falla de EoP.
La empresa tecnológica también ha señalado el trabajo del Centro de Comando Cibernético de Polonia (DKWOC) en ayudar a detectar y detener los ataques. DKWOC también publicó una entrada describiendo la actividad de APT28 que aprovecha CVE-2023-38831.
La acción recomendada en este momento, enumerada por prioridad, es la siguiente:
- Aplicar las actualizaciones de seguridad disponibles para CVE-2023-23397 y su bypass CVE-2023-29324.
- Utilizar el script de Microsoft ubicado en microsoft.github.io/CSS-Exchange/Security/CVE-2023-23397/ para verificar si algún usuario de Exchange ha sido objetivo.
- Restablecer las contraseñas de los usuarios comprometidos y habilitar la autenticación multifactor (MFA) para todos los usuarios.
- Limitar el tráfico SMB bloqueando las conexiones a los puertos 135 y 445 desde todas las direcciones IP entrantes.
- Deshabilitar NTLM en su entorno.
Dado que APT28 es un grupo de amenazas altamente ingenioso y adaptable, la estrategia de defensa más efectiva es reducir la superficie de ataque en todas las interfaces y asegurarse de que todos los productos de software se actualicen regularmente con los últimos parches de seguridad.
Fuente: bleepingcomputer.com