Un equipo de inteligencia de amenazas de Microsoft alertó sobre la explotación activa de la vulnerabilidad CVE-2023-23397 en el software Outlook por parte del actor patrocinado por el estado ruso APT28, también conocido como Fancybear, Forest Blizzard o Strontium. Esta falla permite a los atacantes secuestrar cuentas de Microsoft Exchange y robar información confidencial.
Objetivos de los ataques
Las entidades afectadas incluyen gobiernos, sectores energéticos, transporte y otras organizaciones críticas en Estados Unidos, Europa y Medio Oriente. Además, se destacó la explotación simultánea de otras vulnerabilidades como CVE-2023-38831 en WinRAR y CVE-2021-40444 en Windows MSHTML.
Vulnerabilidad crítica de Outlook
CVE-2023-23397 es una vulnerabilidad crítica de elevación de privilegios (EoP) en Outlook que Microsoft solucionó como Zero-Day en marzo de 2023. La divulgación reveló que APT28 la había estado explotando desde abril de 2022, mediante notas de Outlook diseñadas para robar hashes NTLM.
Al elevar sus privilegios en el sistema, lo cual resultó sencillo, los atacantes realizaron un movimiento lateral y modificaron los permisos del buzón de Outlook para realizar robos de correo electrónico dirigido. A pesar de las actualizaciones de seguridad disponibles, la superficie de ataque siguió siendo significativa.
Actividad persistente de APT28
Recorded Future advirtió en junio que APT28 probablemente aprovechó la falla de Outlook contra organizaciones ucranianas clave. En octubre, ANSSI reveló que los delincuentes informáticos rusos habían utilizado el ataque de Zero-Click contra entidades gubernamentales, empresas y universidades en Francia.
La última advertencia de Microsoft destaca que los atacantes de GRU todavía aprovechan CVE-2023-38831 en los ataques, lo cual indica que aún hay sistemas vulnerables a la falla crítica de EoP.
Acciones recomendadas
Se recomienda aplicar las actualizaciones de seguridad disponibles para CVE-2023-23397 y su derivación CVE-2023-29324. Además, se sugiere utilizar un script de Microsoft para comprobar si algún usuario de Exchange ha sido atacado.
Se debe restablecer las contraseñas de los usuarios comprometidos y habilitar MFA (autenticación multifactor) para todos los usuarios. También se recomienda limitar el tráfico SMB bloqueando conexiones a los puertos 135 y 445 desde todas las direcciones IP entrantes, así como deshabilitar NTLM en el entorno.
El Centro de Comando Cibernético Polaco (DKWOC) contribuyó a detectar y detener los ataques. DKWOC publicó un informe que describe la actividad de APT28 que aprovecha CVE-2023-38831.
Dado que APT28 es un grupo de amenazas muy ingenioso, la estrategia más eficaz para la defensa es reducir la superficie de ataque en todas las interfaces y garantizar que todos los productos de software se actualicen periódicamente con los últimos parches de seguridad.