Bug do Outlook leva ao vazamento de quase 100.000 senhas

Um pesquisador de segurança que trabalhava com o Guardicore encontrou um problema sério com a maneira como o recurso de descoberta automática é implementado na plataforma de servidor de e-mail Exchange da Microsoft, usada para lidar com contas do Outlook.

A Descoberta Automática é o serviço do Exchange responsável pela fácil configuração de clientes e protocolos. Ele também permite que os usuários façam a configuração completa do aplicativo, como o cliente Outlook, apenas com o endereço de e-mail e a senha, migrando efetivamente as configurações da forma como sua conta está configurada.

O relatório da pesquisa chamou o problema de segurança com a descoberta automática de "grave" e explicou que ela permite que os agentes da ameaça interceptem as credenciais em seu formato de texto simples.

Guardicore explicou ainda a gravidade do problema, detalhando que um ator de ameaça poderoso, com capacidades e recursos apoiados por um estado, pode executar uma campanha massiva de envenenamento de DNS e periodicamente e metodicamente coletar senhas que vazam.

A equipe de pesquisa da Guardicore registrou quase uma dúzia de domínios de descoberta automática de alto nível para serem usados como camas de teste de prova de conceito para sequestro de credenciais. Os domínios foram configurados para se conectar a um servidor operado pela equipe de pesquisa.

Em menos de seis meses, a equipe capturou centenas de milhares de credenciais de domínio do Windows e quase 100.000 credenciais vazando de vários aplicativos de e-mail, incluindo o próprio Outlook da Microsoft, bem como outro software que pode ser configurado para funcionar com servidores MS Exchange.

Por fim, a equipe de pesquisa também conseguiu forçar um novo método de autenticação nos clientes afetados, permitindo aos pesquisadores interceptar credenciais em formato de texto simples.

A Microsoft acusou a Guardicore de revelar o problema publicamente antes de informá-los sobre ele primeiro, mas a equipe rebateu com a alegação de que o problema não era novo, foi apenas a primeira vez que foi explorado em tal extensão e em tão grande escala configurar.

September 27, 2021
Carregando…

Detalhes e Termos de Backup do Cyclonis

O plano Básico do Backup Gratuito do Cyclonis oferece 2 GB de espaço de armazenamento na nuvem com funcionalidade total! Não é necessário cartão de crédito. Precisa de mais espaço de armazenamento? Compre um plano maior do Backup do Cyclonios agora! Para saber mais sobre nossas políticas e preços, consulte os Termos de Serviço, Política de Privacidade, os Termos de Desconto e a Página de Compra. Se você deseja desinstalar o aplicativo, visite a página Instruções de Desinstalação.

Detalhes e Termos do Gerenciador de Senhas do Cyclonis

Teste GRATUITO: Oferta Única de 30 Dias! Nenhum cartão de crédito será necessário para o teste gratuito. Funcionalidade completa durante o período de avaliação gratuita. (A funcionalidade completa após a Avaliação Gratuita requer a compra deaassinatura.) Para saber mais sobre nossas políticas e preços, consulte o CLUF, a Política de Privacidade, os Termos de Desconto e a Página de Compra. Se você deseja desinstalar o aplicativo, visite a página Instruções de Desinstalação.