Microsoft compartió el viernes una guía para ayudar a los clientes a descubrir indicadores de compromiso (IoC) asociados con una vulnerabilidad de Outlook recientemente parcheada.
Identificado como CVE-2023-23397 (puntuación CVSS: 9,8), el fallo crítico está relacionado con un caso de escalada de privilegios que podría aprovecharse para robar hashes de NT Lan Manager (NTLM) y realizar un ataque de retransmisión sin necesidad de interacción por parte del usuario.
«Los atacantes externos podrían enviar correos electrónicos especialmente diseñados que provocarán una conexión de la víctima a una ubicación no fiable bajo el control de los atacantes», señaló la empresa en un aviso publicado este mes.
«Esto filtrará el hash Net-NTLMv2 de la víctima a la red no fiable que un atacante puede retransmitir a otro servicio y autenticarse como la víctima».
La vulnerabilidad fue resuelta por Microsoft como parte de sus actualizaciones del martes de parches de marzo de 2023, pero no antes de que los actores de amenazas basados en Rusia utilizaran el fallo como arma en ataques dirigidos a los sectores gubernamental, de transporte, energético y militar en Europa.
El equipo de respuesta a incidentes de Microsoft dijo haber encontrado pruebas de la posible explotación del fallo ya en abril de 2022.
La revelación se produce cuando la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) de EE.UU. ha publicado una nueva herramienta de respuesta a incidentes de código abierto que ayuda a detectar indicios de actividad maliciosa en entornos de nube de Microsoft.
A principios de este año, Microsoft también instó a sus clientes a mantener actualizados sus servidores Exchange locales y a tomar medidas para reforzar sus redes con el fin de mitigar posibles amenazas.