Een zerodaylek in Microsoft Outlook waarvoor op 14 maart van dit jaar een beveiligingsupdate verscheen is sinds begin april vorig jaar door aanvallers misbruikt om toegang tot mailaccounts op Exchange-servers te krijgen, zo laat Microsoft vandaag weten. De aanvallen zouden het werk zijn van een vanuit Rusland opererende groep die bekendstaat als Fancy Bear en APT28.

De kwetsbaarheid, aangeduid als CVE-2023-23397, is aanwezig in alle ondersteunde versies van Microsoft Outlook voor Windows. Andere versies zijn niet kwetsbaar. Door het versturen van een speciaal geprepareerde e-mail kan de aanvaller het slachtoffer op zijn server laten inloggen, waarbij de wachtwoordhash van het e-mailaccount wordt verstuurd. De verstuurde hash is vervolgens te onderscheppen en te kraken. Er is geen enkele interactie van het slachtoffer vereist, de aanvaller hoeft alleen het e-mailadres te kennen en hier een e-mail naar toe te sturen.

Het zerodaylek zou onder andere tegen Poolse instanties zijn ingezet. Het Poolse Cyber Commando werkte samen met Microsoft bij het onderzoek naar de aanval. Volgens Microsoft hadden de aanvallers het in eerste instantie op 'high-value' gebruikers voorzien. Misbruik van de kwetsbaarheid vindt zeker sinds begin april 2022 plaats.

Organisaties die willen kijken of hun accounts zijn gecompromitteerd zouden dan ook vanaf deze datum naar aanwijzingen moeten zoeken. Microsoft heeft instructies beschikbaar gemaakt voor het uitvoeren van dergelijke scans. Verder wordt aangeraden om gebruikers aan de Protected Users Group toe te voegen, wat voorkomt dat NTLM als authenticatiemechanisme wordt gebruikt en uitgaand SMB-verkeer op de firewall te blokkeren.