Satnam Narang kommentiert Null-Klick-Schwachstelle in Microsoft Outlook

[datensicherheit.de, 17.03.2023] Die jüngste Berichterstattung über die „Outlook“-Schwachstelle „CVE-2023-23397“ hat Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, nach eigenen Angaben dazu veranlasst, dieses Thema nachfolgend etwas fundierter zu beleuchten.

Foto: Tenable

Satnam Narang: Es erforderte keine Benutzerinteraktion, was dies zu einer Null-Klick-Schwachstelle macht!

Outlook-Terminerinnerung kann missbraucht werden

„Innerhalb von 24 Stunden nach Veröffentlichung haben Forscher von MDSec bereits einen funktionalen Proof-of-Concept-Exploit für ,CVE-2023-23397‘ entwickelt, der verdeutlicht, wie einfach es ist, ihn auszunutzen“, berichtet Narang.

In diesem Beispiel hätten sie die Schwachstelle durch eine „Outlook“-Terminerinnerung ausnutzen können – „die auf dem Bildschirm erschien, nachdem die speziell gestaltete Nachricht vom E-Mail-Server empfangen und vom ,Outlook’-Client heruntergeladen wurde“.

CVE-2023-23397 in Outlook eine der Top-Schwachstellen des Jahres 2023

Narang betont: „Es erforderte keine Benutzerinteraktion, was dies zu einer Null-Klick-Schwachstelle macht.“ Darüber hinaus habe Microsoft bestätigt, dass dieser Fehler als „Zero Day“ im Rahmen begrenzter Angriffe eines in Russland ansässigen Bedrohungsakteurs auf Regierungs-, Transport-, Energie- und militärische Zielorganisationen in Europa ausgenutzt worden sei.

„Aufgrund der Einfachheit, mit der diese Schwachstelle ausgenutzt werden kann, glauben wir, dass es nur eine Frage der Zeit ist, bis sie in die Playbooks anderer Bedrohungsakteure, einschließlich Ransomware-Gruppen, aufgenommen wird“, so Narang. Bei Tenable gehen sie demnach davon aus, „dass ,CVE-2023-23397‘ eine der Top-Schwachstellen des Jahres 2023 wird“.

Outlook-Nutzer sollten das Patchen dieses Fehlers eher früher als später priorisieren

Wie in ihrem aktuellen „Threat Landscape Report 2022“ hervorgehoben, stellten bekannte Schwachstellen heute das größte Risiko für Unternehmen dar. Abschließend rät Narang:

„Jetzt, da ,CVE-2023-23397‘ von einem Zero-Day zu einer bekannten Schwachstelle geworden ist, empfehlen wir allen Organisationen, die Microsoft verwenden – vor allem ,Outlook’ – das Patchen dieses Fehlers eher früher als später zu priorisieren.“

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik, 16.03.2023
Aktive Ausnutzung einer Schwachstelle in Microsoft Outlook

Microsoft, 16.03.2023
Microsoft Outlook Elevation of Privilege Vulnerability / CVE-2023-23397 / Sicherheitsanfälligkeit

[datensicherheit.de, 01.08.2019] Zscaler hat nach eigenen Angaben „große Phishing-Kampagnen hinter gefälschten Webseiten“ enttarnt. Bekannte Domains wie „Outlook“ und „OneDrive“ seien betroffen. Das „ThreatLabZ-Team“ bei Zscaler warnt aktuell vor verschiedenen Phishing-Angriffen mit „Microsoft Azure Custom“-Domains. Diese Webseiten seien mit einem Microsoft-SSL-Zertifikat signiert, um legitim zu erscheinen. Insgesamt seien 2.000 Phishing-Versuche innerhalb von sechs Wochen nachgewiesen worden. Zwei der Angriffs-Vektoren habe das Research-Team genauer untersucht.

Spam-Emails: SSL-Zertifikat von Microsoft missbraucht und eingefügt

Im ersten Beispiel hätten die Angreifer eine Spam-E-Mail an einen Anwender geschickt, „die vorgibt, von einem bestimmten Unternehmen zu stammen“. Sie informiert demnach den Benutzer, dass angeblich bereits sieben E-Mails von diesem Unternehmer geschickt worden seien, welche jedoch unter Quarantäne gefallen seien. Zur Überprüfung der E-Mails werde dem Benutzer empfohlen, sich mit seinem Firmen-Account anzumelden. „Klickt das Opfer auf die Schaltfläche ‚E-Mails anzeigen‘, wird es auf eine Outlook-Login-Phishing-Seite weitergeleitet.“
Für den Fall, dass die Anwender aufgrund der unbekannten URL an der Echtheit der Seite zweifeln, hätten die Angreifer ein SSL-Zertifikat von Microsoft missbraucht und eingefügt. Lässt sich der Benutzer davon täuschen und gibt seine Daten in das Formular ein, „fließen sie zur gefälschten Domain ab, die von den Kriminellen betrieben wird“.

Wie Sprachnachricht aussehender Infizierter HTML-E-Mail-Anhang

Im zweiten Beispiel hätten die Angreifer die Spam-E-Mail mit einer angehängten, wie eine Sprachnachricht aussehenden HTML-Datei verschickt. Sobald der Benutzer auf die HTML-Datei klickt, werde er auf die über die „Azure“-Domain abgebildete Phishing-Seite weitergeleitet. Bei dieser Vorgehensweise injizierten die Angreifer ein verschleiertes „JavaScript“, um die in ihrer Datenbank vorhandenen Anmeldedaten abzugleichen und unnötige Arbeit zu vermeiden. Ein versteckter Code überprüfe dabei die Zugangsdaten des Benutzers und sende sie an den Server des Angreifers.
Zusätzlich zu den „Outlook“-Phishing-Kampagnen seien weitere im Zusammenhang mit folgenden „Azure“-Domains entdeckt worden: Microsoft Phishing, OneDrive Phishing, Adobe Document Phishing und Blockchain Phishing. Zscaler habe Microsoft informiert, weswegen diese Webseiten zwischenzeitlich vom Netz genommen worden seien.
Plattform-Sicherheit gegen Cloud-Phishing

Sicherheitslösungen mit „Sandbox“-Funktionen empfohlen

Phishing-Angriffe häuften sich in den letzten Monaten. Vor allem über „Social Media“-Plattformen wie „LinkedIn“ würden viele vergleichbare Attacken gestartet. Die benannten Beispiele belegten darüber hinaus eine Zunahme von Phishing-Attacken gegen Cloud-Plattformen und ihre Domains. Das Zusammenspiel zwischen der IT-Sicherheit einer Cloud und der IT-Sicherheit von Unternehmen müsse daher reibungslos ablaufen.
Aus diesem Grund benötigten Unternehmen moderne Schutzmechanismen, „die gezielt ihre Plattformen abschirmen“. Solche Sicherheitslösungen sollten „Sandbox“-Funktionen beinhalten, um verdächtige Anhänge und Links filtern, isoliert untersuchen und abwehren zu können. Derartiger Plattform-Schutz des Herstellers oder Anbieters ergänze sehr wirkungsvoll den Sicherheits-Apparat der Unternehmen, die ihre Daten und Anwendungen auf die Cloud-Plattform setzen.

Weitere Informationen zum Thema:

zscaler, Gayathri Anbalagan, 16.07.2019
Abusing Microsoft’s Azure domains to host phishing attacks

datensicherheit.de, 01.07.2019
KnowBe4 unterstützt Unternehmen gegen Social Media-Phishing

datensicherheit.de, 26.06.2019
Zscaler: Warum Office 365 für Stau im Netzwerk sorgen kann

[datensicherheit.de, 04.07.2019] Im Kontext der aktuellen Berichterstattung über die bereits seit 2017 bestehende „Outlook“-Sicherheitslücke CVE-2017-11774 kommentiert das „Advanced Practices Teams“ von FireEye: „FireEye hat im vergangenen Jahr mehrere iranische Hacker beobachtet und Beweise dafür veröffentlicht, wie sie die ,Outlook‘-Schwachstelle CVE-2017-11774 ausnutzen. FireEye weist die Merkmale in der Warnung des US Cyber Command, eine US-amerikanische Behörde für Internetsicherheit, zu CVE-2017-11774 der Gruppe ,APT33‘ zu.“

Verwendete Techniken im Einklang mit Verhalten von APT33

Die verwendeten Techniken stehen demnach „im Einklang mit dem Verhalten von ,APT33‘, wie es FireEye im veröffentlichten ,OVERRULED‘-Blogpost im Dezember 2018 beschrieben habe – sowie der aktuellen Kampagne von ,APT33‘, die im Juni identifiziert wurde und eine verstärkte Ausrichtung auf viele in den USA ansässige Institutionen aufweist.“

CVE-2017-11774 verwirrt viele Sicherheitsexperten

Die Ausnutzung von CVE-2017-11774 führe weiterhin zu Verwirrung bei vielen Sicherheitsexperten. Wenn „Outlook“ von bösartigen Anwendungen befallen ist, werde häufig davon ausgegangen, dass der betroffene Nutzer Opfer einer Phishing-Attacke wurde – was hier jedoch nicht der Fall sei. „Das Unternehmen kann wertvolle Zeit verschwenden, ohne sich auf die eigentliche Ursache zu konzentrieren.“

APT33 nutzt „Password Spraying“

Bevor ein Gegner eine Schwachstelle ausnutzen könne, benötige er gültige Anmeldeinformationen eines Nutzers. Bei „APT33“ würden diese oft durch sogenanntes „Password Spraying“ erlangt. Dabei versuchten Bedroher Zugriff zu erlangen, indem sie wenige, häufig verwendeten Passwörtern bei einer großen Anzahl von Konten ausprobierten.

Oft fehlende geeignete Zugriffskontrollen in Unternehmen

Seit mindestens einem Jahr nutzten die Gruppen „APT33“ und „APT34“ diese Technik mit Erfolg – aufgrund der fehlenden geeigneten Zugriffskontrollen in Unternehmen für E-Mails wie Multi-Faktor-Authentisierung und Patches für E-Mail-Anwendungen in Bezug auf CVE-2017-11774.

Weitere Informationen zum Thema:

twitter, 02.07.2019
USCYBERCOM Malware Alert

FIREEYE,21.12.2018
Threat Research / OVERRULED: Containing a Potentially Destructive Adversary

datensicherheit.de, 26.06.2019
Zscaler: Warum Office 365 für Stau im Netzwerk sorgen kann

datensicherheit.de, 19.05.2019]
Account Takeover-Angriffe: Wie Unternehmen ihre Office 365-Konten schützen können

datensicherheit.de, 22.04.2019
Proofpoint: Kommentar zu Sicherheitsvorfällen bei Office 365

datensicherheit.de, 17.04.2019
Office 365: Zunehmendes Risiko von Cloud-Account-Attacken

datensicherheit.de, 15.04.2019
Hackerangriff auf Outlook.com: Schwachstelle Privileged Account

datensicherheit.de, 03.03.2019
FireEye: Zehnter M-Trends Report veröffentlicht

datensicherheit.de, 03.02.2019
Microsoft 365-Nutzer konnten keine Links mehr öffnen

datensicherheit.de, 22.04.2013
FireEye-Studie belegt die zunehmend globale Natur von Cyber-Attacken