Шпионска група, свързана с руската армия, продължава да използва уязвимост с нулев клик в Microsoft Outlook в опитите си да компрометира системи и да събира разузнавателна информация от правителствени агенции в страни от НАТО, както и в Обединените арабски емирства (ОАЕ) и Йордания в Близкия изток.

Поредицата от неотдавнашни атаки през септември и октомври, извършени от групата Fighting Ursa – по-известна като Forest Blizzard, APT28 или Fancy Bear – е третата вълна, която използва опасната уязвимост за повишаване на привилегиите в Outlook, проследена като CVE-2023-23397, която позволява на нападателите начин да откраднат хеш парола на потребител, като принудят клиента на Microsoft Outlook на жертвата да се свърже с контролиран от нападателя сървър без взаимодействие с потребителя.

Досега напредналата постоянна заплаха (APT) се е насочила към най-малко 30 организации в 14 държави, използвайки експлойт за бъга, заявява фирмата за мрежова сигурност Palo Alto Networks в анализ, публикуван на 7 декември. Атаките са насочени към организации, свързани с производството и разпределението на енергия, нефтопроводи и газопроводи, както и към министерства, отговарящи за отбраната, икономиката, вътрешните и външните работи.

„Едно е да подозираш, че дадена нация или индустрия е изложена на риск от APT  от национална държава – друго е да можеш да проучиш кампаниите на APT в дълбочина и да предоставиш конкретни наблюдения за това кои нации и индустрии са обект на атаки“, казва Майкъл Сикорски, вицепрезидент и главен технологичен директор на екипа за разузнаване на заплахи Unit 42 в Palo Alto Networks. „Като се има предвид, че 11 от 14-те държави, към които са насочени и трите кампании, са членки на НАТО, ние преценяваме, че разузнаването по отношение на НАТО, Украйна и нейните съюзници остава висок приоритет за руските военни.“

Насочване към НАТО, Украйна и Близкия изток

Шпионските кампании, насочени към уязвимостта, са се случили на три вълни: първоначална вълна, използваща грешката в Outlook като недостатък от нулев ден между март и декември 2022 г., след това през март тази година след кръпката за проблема и последната кампания през септември и октомври, според анализа на Palo Alto Networks. Целите включваха един от деветте корпуса за бързо разгръщане на НАТО – подразделение, фокусирано върху бързото реагиране на различни инциденти, включително природни бедствия, борба с тероризма и военни действия, заяви фирмата.

Изследователи от множество фирми свързаха APT с подразделение 26165 на военното разузнаване на Руската федерация, известно още като Главно разузнавателно управление на Генералния щаб на въоръжените сили на Руската федерация (ГРУ).

„Forest Blizzard непрекъснато усъвършенства своя отпечатък, като използва нови персонализирани техники и зловреден софтуер, което предполага, че това е добре обезпечена с ресурси и добре обучена група, поставяща дългосрочни предизвикателства пред приписването и проследяването на дейностите ѝ“, заяви Microsoft в анализ, актуализиран на 4 декември.

Майкрософт работи с полското киберкомандване за разследване на атаката и разработване на смекчаващи мерки срещу нападателите. Полша е една от държавите, към които е насочена кампанията за експлоатиране на Outlook.

CVE-2023-23397: Вече не е Zero-Day, но все още е ценен

Уязвимостта в Microsoft Outlook, която за пръв път беше поправена през март, позволява чрез специално създадено електронно писмо да се предизвика изтичане на Net-NTLMv2 хешове на потребителите и не изисква никакво взаимодействие с потребителя. Използвайки тези хешове, нападателят може да се удостовери като жертвата в други системи, които поддържат NTLM удостоверяване.

Microsoft се справи с първоначалния проблем с уязвимостта с кръпка, която по същество не позволява на клиента Outlook да осъществява злонамерени връзки. Скоро след това обаче изследовател от Akamai, който проучвал поправката, открил друг проблем в свързан компонент на Internet Explorer, който му позволил да заобиколи изцяло поправката. Microsoft определи отделен идентификатор за новия бъг (CVE-2023-29324) и издаде кръпка за него в майското издание Patch Tuesday.

При последните атаки, използващи това, което някои наричат „Той“ бъг 2023, поведението предполага, че „достъпът и разузнавателните данни, генерирани от тези операции, надвишават последиците от публичното излагане и разкриване“, заявява Palo Alto Networks в своя анализ.

Palo Alto Networks призова клиентите си да закърпят уязвимостта, но компанията не разполага с данни за това колко – или колко малко – компании са предприели защитната мярка, казва Сикорски.

„Следим този CVE, откакто беше обявен, а също така внимателно наблюдаваме активността на руските заплахи отпреди нахлуването в Украйна“, казва той. „Въз основа на … продължаващите опити за експлоатация на Fighting Ursa срещу тази уязвимост, ние преценяваме, че организациите или не са закърпили, или са конфигурирали неправилно своите системи.“

Уязвимостта на Outlook не е единствената, използвана от Fancy Bear. В анализа на Microsoft се посочва, че в началото на септември групата е използвала и уязвимост в помощната програма за архивиране WinRAR (CVE 2023-38831), а през последните месеци – шест други софтуерни пропуски.