Zero-Day-Exploit in Outlook ermöglicht Diebstahl von Net-NTLMv2-Hash

Microsoft hat am Dienstag bestätigt, dass eine kritische Outlook-Sicherheitslücke, die mit 9,8 von maximal 10 Punkten bewertet wurde, bereits auf breiter Front (Zero-Day) ausgenutzt wird. Das Gefährliche an diesem Exploit ist, dass er ausgeführt wird, sobald eine bösartigen E-Mail in Outlook zugestellt ist. Die Mail muss nicht erst geöffnet werden, um die Schwachstelle auszunutzen. Es ist also keine zusätzliche Benutzeraktivität notwendig. Mit einer manipulierten E-Mail kann ein Angreifer einen Server unter seiner Kontrolle gezielt ansprechen und dadurch den Net-NTLMv2-Hash des angemeldeten Benutzers abgreifen. Die erbeuteten Informationen können dann für weitere Angriffe gegen die on-premises Infrastruktur des Anwenders genutzt werden.

Wichtigste Maßnahme zur Behebung dieses Exploits ist die sofortige Aktualsierung des Office Pakets. Folgende Update-Maßnahmen sind möglich:

• Der Anwender prüft selbst in Office auf Updates: (Datei \ Office Konto \ Update Optionen > Jetzt aktualisieren)
• In einer modernen Arbeitsplatzumgebung nutzen wir die Office Update Richtlinien. Office lässt sich dabei mittels Intune oder GPOs verwalten. Wir empfehlen die Verwendung der Deployment Deadline

Wir zeigen dir, wie du die grundlegenden Einstellungen für ein schnelles Update der Office Applikationen mithilfe von Intune erreichen kannst. Diese Angaben sind nicht vollständig, sondern legen den Fokus auf das schnelle Installieren der Updates.

Im Intune Portal öffnest du den Bereich Geräte.

Klicke auf "Configuration profiles" und dann auf "Create profile". Wähle als Plattform „Windows 10 and later“ und als Typ „Templates“ aus. Klicke dann auf "Administrative Templates".

Vergib einen entsprechenden (beliebigen) Namen.

In der Suchleiste gibst du "Update Deadline" ein und klickst dann auf den Eintrag. Aktiviere die Einstellung und lege eine Deadline fest. Dies kann eine Zahl in Tagen oder ein Zeitpunkt sein. Klicke auf "OK" (und nicht auf "Next").

Nun gibst du „Enable Automatic Updates“ ein, klickst erneut auf den Eintrag und aktivierst diese Einstellung. Bestätige bitte mit "OK" und klicke jetzt auf "Next".

Scope Tags werden nicht benötigt und so kannst du diesen Reiter mit "Next" überspringen.

Als Assignment musst du nun eine Gruppe auswählen, die alle deine zu aktualisierenden Windows Geräte beinhaltet.

Klicke ein letztes Mal auf "Next" und es wird eine Zusammenfassung gezeigt. Mit „Create“ wird das Intune Administrative Template erstellt und auf die Rechner der Gruppe angewandt.

Wenn dein Unternehmen nicht in der Lage ist, diese Sicherheitsupdates sofort auszurollen, oder wenn du bis zum erfolgreichen Rollout zusätzliche Maßnahmen ergreifen möchtest, empfiehlt es sich, den ausgehenden Netzwerkverkehr zu Adressen im Internet für das SMB-Protokoll (TCP 445) mit einer Firewall oder über die VPN-Einstellungen zu blockieren. Dadurch wird verhindert, dass die Informationen zum Angreifer fließen. Dies kann auch auf dem Endgerät selbst mit der Microsoft Defender Firewall geschehen.

Um zu überprüfen, ob deine Umgebung Ziel dieses Angriffs war, empfiehlt es sich das Skript von Microsoft auf Exchange Online oder Exchange on-premises auszuführen. Es prüft alle Mailboxen auf auffällige Nachrichten.

Wenn du Microsoft Defender for Endpoint im Einsatz hast, kannst du folgende Advanced Hunting Query nutzen, um entsprechende Netzwerkverbindungen in deiner Umgebung zu erkennen:

Weiterführende Links:

• CVE-2023-23397 script
• Microsoft Outlook Elevation of Privilege Vulnerability
• Released: March 2023 Exchange Server Security Updates