Търсене
Close this search box.

Руска шпионска група разбива през бъг в Microsoft Outlook

Шпионска група, свързана с руската армия, продължава да използва уязвимост с нулев клик в Microsoft Outlook в опитите си да компрометира системи и да събира разузнавателна информация от правителствени агенции в страни от НАТО, както и в Обединените арабски емирства (ОАЕ) и Йордания в Близкия изток.

Поредицата от неотдавнашни атаки през септември и октомври, извършени от групата Fighting Ursa – по-известна като Forest Blizzard, APT28 или Fancy Bear – е третата вълна, която използва опасната уязвимост за повишаване на привилегиите в Outlook, проследена като CVE-2023-23397, която позволява на нападателите начин да откраднат хеш парола на потребител, като принудят клиента на Microsoft Outlook на жертвата да се свърже с контролиран от нападателя сървър без взаимодействие с потребителя.

Досега напредналата постоянна заплаха (APT) се е насочила към най-малко 30 организации в 14 държави, използвайки експлойт за бъга, заявява фирмата за мрежова сигурност Palo Alto Networks в анализ, публикуван на 7 декември. Атаките са насочени към организации, свързани с производството и разпределението на енергия, нефтопроводи и газопроводи, както и към министерства, отговарящи за отбраната, икономиката, вътрешните и външните работи.

„Едно е да подозираш, че дадена нация или индустрия е изложена на риск от APT  от национална държава – друго е да можеш да проучиш кампаниите на APT в дълбочина и да предоставиш конкретни наблюдения за това кои нации и индустрии са обект на атаки“, казва Майкъл Сикорски, вицепрезидент и главен технологичен директор на екипа за разузнаване на заплахи Unit 42 в Palo Alto Networks. „Като се има предвид, че 11 от 14-те държави, към които са насочени и трите кампании, са членки на НАТО, ние преценяваме, че разузнаването по отношение на НАТО, Украйна и нейните съюзници остава висок приоритет за руските военни.“

Насочване към НАТО, Украйна и Близкия изток

Шпионските кампании, насочени към уязвимостта, са се случили на три вълни: първоначална вълна, използваща грешката в Outlook като недостатък от нулев ден между март и декември 2022 г., след това през март тази година след кръпката за проблема и последната кампания през септември и октомври, според анализа на Palo Alto Networks. Целите включваха един от деветте корпуса за бързо разгръщане на НАТО – подразделение, фокусирано върху бързото реагиране на различни инциденти, включително природни бедствия, борба с тероризма и военни действия, заяви фирмата.

Изследователи от множество фирми свързаха APT с подразделение 26165 на военното разузнаване на Руската федерация, известно още като Главно разузнавателно управление на Генералния щаб на въоръжените сили на Руската федерация (ГРУ).

„Forest Blizzard непрекъснато усъвършенства своя отпечатък, като използва нови персонализирани техники и зловреден софтуер, което предполага, че това е добре обезпечена с ресурси и добре обучена група, поставяща дългосрочни предизвикателства пред приписването и проследяването на дейностите ѝ“, заяви Microsoft в анализ, актуализиран на 4 декември.

Майкрософт работи с полското киберкомандване за разследване на атаката и разработване на смекчаващи мерки срещу нападателите. Полша е една от държавите, към които е насочена кампанията за експлоатиране на Outlook.

CVE-2023-23397: Вече не е Zero-Day, но все още е ценен

Уязвимостта в Microsoft Outlook, която за пръв път беше поправена през март, позволява чрез специално създадено електронно писмо да се предизвика изтичане на Net-NTLMv2 хешове на потребителите и не изисква никакво взаимодействие с потребителя. Използвайки тези хешове, нападателят може да се удостовери като жертвата в други системи, които поддържат NTLM удостоверяване.

Microsoft се справи с първоначалния проблем с уязвимостта с кръпка, която по същество не позволява на клиента Outlook да осъществява злонамерени връзки. Скоро след това обаче изследовател от Akamai, който проучвал поправката, открил друг проблем в свързан компонент на Internet Explorer, който му позволил да заобиколи изцяло поправката. Microsoft определи отделен идентификатор за новия бъг (CVE-2023-29324) и издаде кръпка за него в майското издание Patch Tuesday.

При последните атаки, използващи това, което някои наричат „Той“ бъг 2023, поведението предполага, че „достъпът и разузнавателните данни, генерирани от тези операции, надвишават последиците от публичното излагане и разкриване“, заявява Palo Alto Networks в своя анализ.

Palo Alto Networks призова клиентите си да закърпят уязвимостта, но компанията не разполага с данни за това колко – или колко малко – компании са предприели защитната мярка, казва Сикорски.

„Следим този CVE, откакто беше обявен, а също така внимателно наблюдаваме активността на руските заплахи отпреди нахлуването в Украйна“, казва той. „Въз основа на … продължаващите опити за експлоатация на Fighting Ursa срещу тази уязвимост, ние преценяваме, че организациите или не са закърпили, или са конфигурирали неправилно своите системи.“

Уязвимостта на Outlook не е единствената, използвана от Fancy Bear. В анализа на Microsoft се посочва, че в началото на септември групата е използвала и уязвимост в помощната програма за архивиране WinRAR (CVE 2023-38831), а през последните месеци – шест други софтуерни пропуски.

 

 

Източник: DARKReading

Подобни публикации

19 април 2024

Замбия арестува 77 души в операция за киберпрес...

Компанията за фалшиви телефонни центрове извършва онлайн  и други и...
18 април 2024

Платформата за фишинг LabHost е закрита от прав...

LabHost, голяма платформа за фишинг като услуга, е била затворена к...
18 април 2024

Компания за управление на киберриска набра 21 м...

В сряда компанията за риск мениджмънт CyberSaint обяви, че е набрал...
18 април 2024

Болница в Кан с 869 легла и 2100 служителя прет...

Болница „Симон Вейл“ в Кан (CHC-SV) обяви, че във вторн...
18 април 2024

Akira ransomware е събрала 42 млн. долара от ре...

Според съвместна препоръка на ФБР, CISA, Европейския център за кибе...
18 април 2024

Вариант на LockBit 3.0 генерира персонализиран,...

Изследователите на Kaspersky са открили новия вариант, след като са...
18 април 2024

Групата "Sandworm" е основното звено за киберат...

Но дори и да се е фокусирала върху това, сложната група за заплахи ...
Бъдете социални
Още по темата
18/04/2024

Групата "Sandworm" е основн...

Но дори и да се е...
18/04/2024

Apple предупреждава потреби...

В ново уведомление за заплахи Apple...
16/04/2024

CISA издаде извънредна дире...

На 11 април Агенцията за киберсигурност...
Последно добавени
19/04/2024

Замбия арестува 77 души в о...

Компанията за фалшиви телефонни центрове извършва...
18/04/2024

Платформата за фишинг LabHo...

LabHost, голяма платформа за фишинг като...
18/04/2024

Компания за управление на к...

В сряда компанията за риск мениджмънт...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!