Το νέο εργαλείο Specula χρησιμοποιεί το Outlook για επιθέσεις RCE
secnews.gr
IT Security News, Gadgets, Tweaks for Geeks and More
Το νέο εργαλείο Specula χρησιμοποιεί το Outlook για επιθέσεις RCE
https://www.secnews.gr/611497/neo-ergaleio-specula-xrisimopoiei-outlook-epithesi-rce/
Jul 30th 2024, 13:38
Το Microsoft Outlook μπορεί να χρησιμοποιηθεί για επιθέσεις RCE, όπως αποδεικνύεται από ένα νέο post-exploitation πλαίσιο με το όνομα "Specula", που κυκλοφόρησε από την εταιρεία κυβερνοασφάλειας TrustedSec.
Δείτε επίσης: Νέες αλλαγές ασφαλείας Outlook για προσωπικούς λογαριασμούς
Αυτό το πλαίσιο C2 λειτουργεί δημιουργώντας μια προσαρμοσμένη αρχική σελίδα του Outlook χρησιμοποιώντας το WebView, εκμεταλλευόμενο το CVE-2017-11774, μια ευπάθεια παράκαμψης της δυνατότητας ασφαλείας του Outlook που διορθώθηκε τον Οκτώβριο του 2017.
«Σε ένα σενάριο επίθεσης κοινής χρήσης αρχείων, ένας εισβολέας θα μπορούσε να παρέχει ένα ειδικά διαμορφωμένο αρχείο εγγράφου σχεδιασμένο για να εκμεταλλεύεται την ευπάθεια και στη συνέχεια να πείσει τους χρήστες να ανοίξουν το αρχείο εγγράφου και να αλληλεπιδράσουν με το έγγραφο», λέει η Microsoft.
Ωστόσο, παρόλο που η Microsoft διόρθωσε το ελάττωμα και αφαίρεσε τη διεπαφή χρήστη για να εμφανίσει τις αρχικές σελίδες του Outlook, οι εισβολείς εξακολουθούν να μπορούν να δημιουργούν κακόβουλες αρχικές σελίδες χρησιμοποιώντας τιμές μητρώου των Windows, ακόμη και σε συστήματα όπου είναι εγκατεστημένες οι πιο πρόσφατες εκδόσεις του Office 365.
Όπως εξηγεί η Trusted, το Specula εκτελείται αποκλειστικά στο περιβάλλον του Outlook και λειτουργεί ορίζοντας μια προσαρμοσμένη αρχική σελίδα του Outlook, μέσω κλειδιών μητρώου που καλούν σε έναν διαδραστικό διακομιστή ιστού Python.
Δείτε ακόμα: Η Microsoft κοινοποιεί προσωρινή επιδιόρθωση για ζητήματα στο Outlook
Για να γίνει αυτό, οι μη προνομιούχοι κακόβουλοι παράγοντες μπορούν να ορίσουν έναν στόχο διεύθυνσης URL στις καταχωρίσεις μητρώου WebView του Outlook στο HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\WebView\ σε έναν εξωτερικό ιστότοπο υπό τον έλεγχό τους.
Ενώ μια συσκευή πρέπει πρώτα να παραβιαστεί για να ρυθμίσει τις παραμέτρους της καταχώρησης μητρώου του Outlook, αφού ρυθμιστεί, οι εισβολείς μπορούν να χρησιμοποιήσουν αυτήν την τεχνική για επιμονή και για να εξαπλωθούν πλευρικά σε άλλα συστήματα. Δεδομένου ότι το outlook.exe είναι μια αξιόπιστη διαδικασία, διευκολύνει τους εισβολείς να αποφύγουν το υπάρχον λογισμικό καθώς εκτελούνται οι εντολές.
Όπως προειδοποίησε η Διοίκηση Cyber των ΗΠΑ (US CyberCom) πριν από πέντε χρόνια, η ευπάθεια CVE-2017-11774 του Outlook χρησιμοποιήθηκε επίσης για τη στόχευση κυβερνητικών υπηρεσιών των ΗΠΑ.
Ερευνητές ασφαλείας από τα Chronicle, FireEye και Palo Alto Networks αργότερα συνέδεσαν αυτές τις επιθέσεις με την ομάδα κυβερνοκατασκοπείας APT33 που χρηματοδοτείται από το Ιράν.
«Το FireEye παρατήρησε για πρώτη φορά την APT34 να χρησιμοποιεί το CVE-2017-11774 τον Ιούνιο του 2018, το οποίο στη συνέχεια υιοθετήθηκε και από την APT33 για μια σημαντικά ευρύτερη εκστρατεία που ξεκίνησε τον Ιούλιο του 2018 και συνεχίστηκε για τουλάχιστον ένα χρόνο», δήλωσαν τότε ερευνητές κυβερνοασφάλειας του FireEye.
Δείτε επίσης: Η Microsoft διορθώνει Outlook bug που εμφάνιζε security alerts
Η απομακρυσμένη εκτέλεση κώδικα (RCE), όπως αυτή του Specula μέσω του Outlook, είναι μια κρίσιμη ευπάθεια ασφαλείας που επιτρέπει σε έναν εισβολέα να εκτελέσει αυθαίρετο κώδικα σε ένα απομακρυσμένο σύστημα ή διακομιστή. Αυτός ο τύπος επίθεσης συχνά εκθέτει ευαίσθητα δεδομένα, διακόπτει τις υπηρεσίες και μπορεί να οδηγήσει σε περαιτέρω παραβιάσεις εντός ενός δικτύου. Τα τρωτά σημεία RCE μπορεί να προκύψουν από διάφορες πηγές, συμπεριλαμβανομένων μη ασφαλών εφαρμογών ιστού, απαρχαιωμένου λογισμικού ή ελαττωμάτων στις διαμορφώσεις συστήματος. Για την άμυνα έναντι των απειλών RCE, είναι απαραίτητο να εφαρμόζονται ισχυρά μέτρα ασφαλείας, όπως τακτικές ενημερώσεις λογισμικού, ισχυρή επικύρωση εισόδου και η αρχή του ελάχιστου προνομίου για την πρόσβαση των χρηστών.
Πηγή: bleepingcomputer
You are receiving this email because you subscribed to this feed at https://blogtrottr.com
If you no longer wish to receive these emails, you can unsubscribe here:
https://blogtrottr.com/unsubscribe/nfz/3xfHTz
IT Security News, Gadgets, Tweaks for Geeks and More
Το νέο εργαλείο Specula χρησιμοποιεί το Outlook για επιθέσεις RCE
https://www.secnews.gr/611497/neo-ergaleio-specula-xrisimopoiei-outlook-epithesi-rce/
Jul 30th 2024, 13:38
Το Microsoft Outlook μπορεί να χρησιμοποιηθεί για επιθέσεις RCE, όπως αποδεικνύεται από ένα νέο post-exploitation πλαίσιο με το όνομα "Specula", που κυκλοφόρησε από την εταιρεία κυβερνοασφάλειας TrustedSec.
Δείτε επίσης: Νέες αλλαγές ασφαλείας Outlook για προσωπικούς λογαριασμούς
Αυτό το πλαίσιο C2 λειτουργεί δημιουργώντας μια προσαρμοσμένη αρχική σελίδα του Outlook χρησιμοποιώντας το WebView, εκμεταλλευόμενο το CVE-2017-11774, μια ευπάθεια παράκαμψης της δυνατότητας ασφαλείας του Outlook που διορθώθηκε τον Οκτώβριο του 2017.
«Σε ένα σενάριο επίθεσης κοινής χρήσης αρχείων, ένας εισβολέας θα μπορούσε να παρέχει ένα ειδικά διαμορφωμένο αρχείο εγγράφου σχεδιασμένο για να εκμεταλλεύεται την ευπάθεια και στη συνέχεια να πείσει τους χρήστες να ανοίξουν το αρχείο εγγράφου και να αλληλεπιδράσουν με το έγγραφο», λέει η Microsoft.
Ωστόσο, παρόλο που η Microsoft διόρθωσε το ελάττωμα και αφαίρεσε τη διεπαφή χρήστη για να εμφανίσει τις αρχικές σελίδες του Outlook, οι εισβολείς εξακολουθούν να μπορούν να δημιουργούν κακόβουλες αρχικές σελίδες χρησιμοποιώντας τιμές μητρώου των Windows, ακόμη και σε συστήματα όπου είναι εγκατεστημένες οι πιο πρόσφατες εκδόσεις του Office 365.
Όπως εξηγεί η Trusted, το Specula εκτελείται αποκλειστικά στο περιβάλλον του Outlook και λειτουργεί ορίζοντας μια προσαρμοσμένη αρχική σελίδα του Outlook, μέσω κλειδιών μητρώου που καλούν σε έναν διαδραστικό διακομιστή ιστού Python.
Δείτε ακόμα: Η Microsoft κοινοποιεί προσωρινή επιδιόρθωση για ζητήματα στο Outlook
Για να γίνει αυτό, οι μη προνομιούχοι κακόβουλοι παράγοντες μπορούν να ορίσουν έναν στόχο διεύθυνσης URL στις καταχωρίσεις μητρώου WebView του Outlook στο HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\WebView\ σε έναν εξωτερικό ιστότοπο υπό τον έλεγχό τους.
Ενώ μια συσκευή πρέπει πρώτα να παραβιαστεί για να ρυθμίσει τις παραμέτρους της καταχώρησης μητρώου του Outlook, αφού ρυθμιστεί, οι εισβολείς μπορούν να χρησιμοποιήσουν αυτήν την τεχνική για επιμονή και για να εξαπλωθούν πλευρικά σε άλλα συστήματα. Δεδομένου ότι το outlook.exe είναι μια αξιόπιστη διαδικασία, διευκολύνει τους εισβολείς να αποφύγουν το υπάρχον λογισμικό καθώς εκτελούνται οι εντολές.
Όπως προειδοποίησε η Διοίκηση Cyber των ΗΠΑ (US CyberCom) πριν από πέντε χρόνια, η ευπάθεια CVE-2017-11774 του Outlook χρησιμοποιήθηκε επίσης για τη στόχευση κυβερνητικών υπηρεσιών των ΗΠΑ.
Ερευνητές ασφαλείας από τα Chronicle, FireEye και Palo Alto Networks αργότερα συνέδεσαν αυτές τις επιθέσεις με την ομάδα κυβερνοκατασκοπείας APT33 που χρηματοδοτείται από το Ιράν.
«Το FireEye παρατήρησε για πρώτη φορά την APT34 να χρησιμοποιεί το CVE-2017-11774 τον Ιούνιο του 2018, το οποίο στη συνέχεια υιοθετήθηκε και από την APT33 για μια σημαντικά ευρύτερη εκστρατεία που ξεκίνησε τον Ιούλιο του 2018 και συνεχίστηκε για τουλάχιστον ένα χρόνο», δήλωσαν τότε ερευνητές κυβερνοασφάλειας του FireEye.
Δείτε επίσης: Η Microsoft διορθώνει Outlook bug που εμφάνιζε security alerts
Η απομακρυσμένη εκτέλεση κώδικα (RCE), όπως αυτή του Specula μέσω του Outlook, είναι μια κρίσιμη ευπάθεια ασφαλείας που επιτρέπει σε έναν εισβολέα να εκτελέσει αυθαίρετο κώδικα σε ένα απομακρυσμένο σύστημα ή διακομιστή. Αυτός ο τύπος επίθεσης συχνά εκθέτει ευαίσθητα δεδομένα, διακόπτει τις υπηρεσίες και μπορεί να οδηγήσει σε περαιτέρω παραβιάσεις εντός ενός δικτύου. Τα τρωτά σημεία RCE μπορεί να προκύψουν από διάφορες πηγές, συμπεριλαμβανομένων μη ασφαλών εφαρμογών ιστού, απαρχαιωμένου λογισμικού ή ελαττωμάτων στις διαμορφώσεις συστήματος. Για την άμυνα έναντι των απειλών RCE, είναι απαραίτητο να εφαρμόζονται ισχυρά μέτρα ασφαλείας, όπως τακτικές ενημερώσεις λογισμικού, ισχυρή επικύρωση εισόδου και η αρχή του ελάχιστου προνομίου για την πρόσβαση των χρηστών.
Πηγή: bleepingcomputer
You are receiving this email because you subscribed to this feed at https://blogtrottr.com
If you no longer wish to receive these emails, you can unsubscribe here:
https://blogtrottr.com/unsubscribe/nfz/3xfHTz
Σχόλια