Het Threat Intelligence-team van Microsoft heeft onlangs een inbreuk op de cyberbeveiliging bevestigd waarbij de Russische staatsgesteunde actor APT28 betrokken is, die is ook bekend als”Fancybear”of”Strontium”. De groep heeft gebruik gemaakt van een kritieke fout in Outlook op Windows, geïdentificeerd als CVE-2023-23397, om Microsoft Exchange-accounts te kapen en toegang te krijgen tot gevoelige gegevens. De exploit is gericht op strategische organisaties in de Verenigde Staten, Europa en het Midden-Oosten, waaronder de overheid, de energie-en transportsector.
De exploit in detail
CVE-2023-23397 stelt aanvallers in staat hun rechten op een systeem te verhogen zonder dat gebruikersinteractie nodig is. Het wordt sinds april 2022 door APT28 uitgebuit door het gebruik van speciaal vervaardigde Outlook-berichten die NTLM-hashreferenties stelen. Deze berichten vragen het apparaat van de ontvanger om zich te verifiëren bij door de aanvaller beheerde SMB-shares. Door daaropvolgende misbruik van bevoegdheden kunnen aanvallers zich lateraal binnen het netwerk verplaatsen en de machtigingen voor Outlook-mailboxen wijzigen met het oog op e-maildiefstal. Om de dreiging verder te verergeren, werd een bypass voor de initiële oplossing ontdekt, geïdentificeerd als CVE-2023-29324 in mei, waardoor het potentieel voor voortdurende exploitatie toeneemt.
Microsoft heeft een in Rusland gevestigde natiestaat-bedreigingsacteur geïdentificeerd, gevolgd als Forest Blizzard (STRONTIUM, APT28, FANCYBEAR) die actief misbruik maakt van CVE-2023-23397 om geheime, ongeautoriseerde toegang te bieden tot e-mailaccounts binnen Exchange-servers: https://t.co/BzbQpELgWQ
— Microsoft Threat Intelligence (@MsftSecIntel) 4 december 2023
Microsoft heeft op de dinsdag van maart 2023 patches uitgebracht om deze kwetsbaarheden aan te pakken. Er zijn echter nog meer kwetsbaarheden misbruikt in combinatie met de Outlook-bug, waaronder CVE-2023-38831 in WinRAR en CVE-2021-40444 in Windows MSHTML.
Continu dreigings-en verdedigingsstrategieën
Ondanks de beschikbaarheid van beveiligingsupdates en mitigatierichtlijnen blijven talloze systemen vatbaar voor CVE-2023-23397. Het Poolse Cyber Command Centrum (DKWOC) heeft actief geholpen bij het identificeren en stoppen van de exploitatiepogingen. Ze hebben een gedetailleerd verslag gepubliceerd van de APT28-activiteiten die verband houden met de Outlook-kwetsbaarheid.
Als reactie op de aanhoudende bedreigingen waarschuwt Microsoft dat de APT28-groep CVE-2023-38831, wat erop wijst dat niet-gepatchte kwetsbaarheden nog steeds een punt van zorg zijn. Het wordt aanbevolen dat organisaties prioriteit geven aan het verkleinen van hun aanvalsoppervlak en regelmatig beveiligingsupdates toepassen op alle softwareproducten. Proactieve verdedigingsstrategieën tegen geavanceerde aanhoudende bedreigingen zoals APT28 omvatten aanhoudende waakzaamheid en snelle toepassing van beveiligingspatches zodra deze beschikbaar komen.
Microsoft is eerder ten strijde getrokken met FancyBear en heeft in 2017 toestemming van de rechtbank gekregen om domeinen te sluiten die eigendom zijn van door de aanvalsgroep. Deze stap slaagde er echter niet in om de groep ervan te weerhouden mondiale cyberdreigingen te blijven creëren.
