Grupo russo compromete contas de e-mail

Publicado em 05 de dezembro de 2023 às 11h17 pelo cabeçalho do artigo

A Microsoft afirma ter identificado um grupo baseado na Rússia e apoiado pelo Kremlin que está explorando ativamente a vulnerabilidade CVE-2023-23397 , com o objetivo de obter acesso secreto e não autorizado a contas de e-mail em servidores Exchange.

Uma vulnerabilidade crítica de segurança que afeta o aplicativo Outlook para sistemas operacionais Windows foi descoberta em março do ano passado. Esta vulnerabilidade permite que um invasor que obtenha controle sobre um servidor visado divulgue informações confidenciais relacionadas ao hash Net-NTLMv2.

A exploração da vulnerabilidade ocorre automaticamente na transmissão de uma mensagem com um link de Convenção de Nomenclatura Universal (UNC) direcionada a um recurso SMB (Server Message Block) compartilhado. As conexões iniciadas pelo aplicativo Outlook para esses locais são executadas sem exigir qualquer ação do usuário.

A vulnerabilidade foi corrigida durante o Patch Tuesday da Microsoft em março de 2023. No entanto, ela foi explorada ativamente de antemão. Além disso, a Microsoft lançou posteriormente um patch para uma vulnerabilidade para continuar a explorar o CVE-2023-23397.

Hackers da Forest Blizzard

Com base nas informações fornecidas pela divisão Threat Intelligence da Microsoft, parece que o grupo Forest Blizzard emprega vulnerabilidades como CVE-2023-23397 e CVE-2023-38831 dentro do WinRAR para focar predominantemente em entidades dos setores governamental, de energia e de transporte, bem como organizações não governamentais que operam nos Estados Unidos, Europa e Oriente Médio.

Forest Blizzard estaria ligado a uma unidade do serviço de inteligência militar russo. A Microsoft cita outros nomes atribuídos e relacionados a esta unidade como Strontium, APT28, Sednit, Sofacy e Fancy Bear.

As indicações sugerem que a Forest Blizzard, uma operação contínua, está continuamente a melhorar a sua abordagem através da utilização de métodos inovadores e novas formas de software malicioso, o que implica que esta entidade possui formação extensiva e recursos substanciais.

Um alerta recente na França

Em outubro, a Anssi, a Agência Nacional Francesa de Segurança de Sistemas de Informação, divulgou um relatório que examinou os métodos empregados pelo grupo avançado de ameaças persistentes APT28, com foco particular na exploração da vulnerabilidade CVE-2023-23397.

Jornalista deste site especializado em novas tecnologias

*️⃣ Link da fonte: