Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Un pericoloso 0-day su Outlook utilizzato dagli hacker di Fancy Bear è stato fixato

Redazione RHC : 15 Marzo 2023 11:54

Microsoft ha corretto una vulnerabilità zero-day presente su Outlook (CVE-2023-23397) che è stata sfruttata da un gruppo di hacker collegato al servizio di intelligence militare russo GRU per prendere di mira le organizzazioni europee.

La vulnerabilità di sicurezza è stata sfruttata in attacchi per prendere di mira e violare le reti di 15 organizzazioni governative, militari, energetiche e dei trasporti tra metà aprile e dicembre 2022.

Il gruppo di hacker nazionali Fancy Bear (APT28, STRONTIUM, Sednit, Sofacy) ha inviato mail di spam su Outlook tramite richieste di negoziazione NTLM, costringendo i dispositivi degli obiettivi ad autenticarsi nelle condivisioni SMB controllate dagli aggressori.

Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

  • Creare Un Sistema Ai Di Visual Object Tracking (Hands on)
  • Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake
  • Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?
  • Come Hackerare Un Sito WordPress (Hands on)
  • Il Cyberbullismo Tra Virtuale E Reale
  • Come Entrare Nel Dark Web In Sicurezza (Hands on)

  • Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
    Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765


    Supporta RHC attraverso:


    Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

    Le credenziali rubate sono state utilizzate per effettuare dei movimenti laterali all’interno delle reti delle vittime e per modificare i permessi della cartella della casella di posta di Outlook, una tattica che consente l’esfiltrazione della posta elettronica per account specifici.

    Microsoft ha condiviso queste informazioni in un report di analisi delle minacce che è stato analizzato da BleepingComputer e disponibile per i clienti con abbonamenti a Microsoft 365 Defender, Microsoft Defender for Business o Microsoft Defender per Endpoint Plan 2.

    La vulnerabilità (CVE-2023-23397) è stata segnalata dal CERT-UA (il Computer Emergency Response Team for Ukraine) ed è una falla di sicurezza critica che consente l’elevazione dei privilegi di Outlook sfruttabile senza l’interazione dell’utente in attacchi a bassa complessità.

    Gli attori delle minacce possono sfruttarlo inviando messaggi con proprietà MAPI estese contenenti percorsi UNC a una condivisione SMB (sulla porta TCP 445) sotto il loro controllo.

    “L’attaccante potrebbe sfruttare questa vulnerabilità inviando un’e-mail appositamente predisposta che si attiva automaticamente quando viene recuperata ed elaborata dal client Outlook. Ciò potrebbe portare allo sfruttamento prima che l’e-mail venga visualizzata nel riquadro di anteprima”, afferma Microsoft.

    “La connessione al server SMB remoto invia il messaggio di negoziazione NTLM dell’utente, che l’attaccante può quindi inoltrare per l’autenticazione contro altri sistemi che supportano l’autenticazione NTLM”, spiega Redmond aggiunto in un post sul blog separato.

    Il CVE-2023-23397 ha effetto su tutte le versioni supportate di Microsoft Outlook per Windows, ma non su quelle di Outlook per Android, iOS o macOS.

    Inoltre, poiché i servizi online come Outlook Web e Microsoft 365 non supportano l’autenticazione NTLM, non sono vulnerabili agli attacchi che sfruttano questa vulnerabilità di inoltro NTLM.

    Redazione
    La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

    Lista degli articoli

    Articoli in evidenza

    Buon World Password Day! Tra MIT, Hacker, Infostealer e MFA. Perchè sono così vulnerabili

    Domani celebreremo uno degli elementi più iconici – e al tempo stesso vulnerabili – della nostra vita digitale: la password. Da semplice chiave d’accesso inventata negli anni...

    Benvenuti su Mist Market: dove con un click compri droga, identità e banconote false

    Ci sono luoghi nel web dove la normalità cede il passo all’illecito, dove l’apparenza di un marketplace moderno e funzionale si trasforma in una vetrina globale per ogni tipo di rea...

    La Cina Accusa la NSA di aver usato Backdoor Native su Windows per hackerare i Giochi Asiatici

    Le backdoor come sappiamo sono ovunque e qualora presenti possono essere utilizzate sia da chi le ha richieste ma anche a vantaggio di chi le ha scoperte e questo potrebbe essere un caso emblematico s...

    WindTre comunica un DataBreach che ha coinvolto i sistemi dei rivenditori

    Il 25 febbraio 2025 WindTre ha rilevato un accesso non autorizzato ai sistemi informatici utilizzati dai propri rivenditori. L’intrusione, riconosciuta come un’azione malevola, è st...

    Non sono ancora chiari i motivi del grande blackout in Spagna e Portogallo

    Ancora non sono chiari i motivi che hanno causato un grave Blackout in Spagna e Portogallo nelle ultime ore. Vaste aree sono rimaste senza energia elettrica, scatenando un’ondata di speculazion...