Nel Patch Tuesday di marzo c’è una correzione da installare prima di tutte le altre. La CVE-2023-23397 riguarda Outlook per Windows, ha gravità 9,8 su 10 e non richiede alcuna interazione: non serve aprire il messaggio né guardarne l’anteprima. Microsoft conferma che è già stata sfruttata da un gruppo con base in Russia contro organizzazioni europee di governo, trasporti, energia e difesa.
Il trucco sta in una funzione che quasi nessuno usa. Outlook permette di associare a un appuntamento o a un’attività un suono di notifica personalizzato, indicato con un percorso di file. L’attaccante manda un invito in cui quel percorso punta a una condivisione di rete su un suo server, come \\server-attaccante\suono.wav. Quando il promemoria scatta, Outlook prova a recuperare il file: Windows apre una connessione SMB verso l’esterno e, per autenticarsi, consegna l’hash NTLMv2 della password dell’utente.
Con quell’hash si può tentare di ricavare la password offline, oppure usarlo in un attacco di tipo relay per presentarsi come l’utente su altri servizi della rete. Il tutto mentre la vittima magari sta solo guardando il calendario.
Sono vulnerabili tutte le versioni di Outlook per Windows, con Exchange in sede o con Microsoft 365. Outlook per Mac, iOS e Android e Outlook sul web non lo sono.
La porta 445 non dovrebbe uscire
Installa subito gli aggiornamenti di marzo: dopo la correzione Outlook ignora i percorsi di suoni che puntano fuori dalla rete fidata. Poi guarda il firewall perimetrale. Il traffico SMB in uscita verso Internet, porta TCP 445, non ha quasi mai un motivo legittimo, e bloccarlo avrebbe reso inutile questo attacco anche senza patch. Per gli account più sensibili, come amministratori e dirigenti, c’è il gruppo Protected Users di Active Directory, che impedisce l’uso di NTLM.
Visto che la falla era sfruttata da mesi, vale la pena guardare indietro. Microsoft ha pubblicato uno script per cercare nelle caselle Exchange, in sede o online, i messaggi con la proprietà sospetta. Controlla anche le connessioni SMB in uscita dei mesi scorsi. Se trovi tracce, cambia le password degli utenti coinvolti, e considera che un hash rubato mesi fa potrebbe essere già stato usato.
