È sempre più diffusa una tecnica di phishing che mira a sottrarre gli hash NTLM di Windows per ottenere le password degli utenti. Ecce in che modo gli esperti di un SOC possono intervenire per neutralizzare la minaccia.
In cosa consiste questa nuova campagna di phishing
Il furto di hash NTLM viene svolte attraverso campagne massive di e-mail di phishing, pianificate da threat actor chiamati Initial Access Broker e indirizzate a organizzazioni di tutto il mondo. Le e-mail in questione vengono inviate a utenti specifici, in modo che l’attaccante possa associare le informazioni rubate a un profilo definito e conosciuto.
All’interno del testo dell’e-mail è contenuto un allegato, ad esempio un’immagine nella firma dell’utente, che viene scaricato automaticamente da Outlook. Questa operazione comporta una richiesta automatica a un server malevolo di proprietà del threat actor, all’interno della quale avviene un’autenticazione di NT LAN Manager (NTLM).
Durante questa operazione, un Initial Access Broker si appropria dell’hash di autenticazione. Successivamente, può sfruttare questo asset in vari modi: per compromettere e dirottare gli account, aumentare i propri privilegi, accedere a informazioni sensibili, eludere prodotti di sicurezza, spostarsi lateralmente all’interno di una rete violata, oppure per venderlo ad altri criminali informatici.
Che cos’è il protocollo NTLM
L’autenticazione NTLM è un insieme di protocolli di autenticazione sviluppati da Microsoft che autenticano gli utenti e i computer secondo un meccanismo di richiesta di verifica e di risposta. Introdotto inizialmente come protocollo proprietario, è ora disponibile anche per sistemi non provvisti di Windows.
L’obiettivo del protocollo NTLM, acronimo di NT LAN Manager, è di impedire l’accesso a partecipanti non autorizzati mediante una procedura di verifica. Se il client non ha le autorizzazioni necessarie, questo tipo di autenticazione impedisce l’accesso al server.
NTLM: come funziona il protocollo
L’autenticazione NTLM sfrutta un metodo challenge-response che prevede alcuni passaggi:
- Il client invia un nome utente in formato testuale al server
- Il server risponde alla richiesta con un numero casuale, la “sfida” (challenge).
- Il client utilizza questo numero e la password utente per generare un valore hash, che invia come “risposta” (response) al server.
- Il server invia la sfida, la risposta del client e il nome utente al domain controller.
- Il domain controller confronta i valori di sfida e risposta. Se i valori corrispondono, l’autenticità del client è confermata; se non corrispondono, il client viene bloccato.
- Il server comunica la risposta del domain controller al client.
Come avviene il furto degli hash NTLM
Un’e-mail apparentemente innocua
L’utente riceve un’e-mail nella propria posta di Outlook. A primo impatto, l’e-mail ha l’aspetto di un comune messaggio di posta elettronica da parte di un utente sconosciuto; l’indirizzo del mittente sembra legittimo, il testo non presenta dettagli che saltano all’occhio e l’allegato ha l’aspetto di un contenuto scaricabile non dannoso.
Se non è configurato correttamente, Outlook procede al download dell’allegato inviando una richiesta automatica al protocollo di file share che ospita il contenuto in questione. Una volta partita la richiesta automatica da parte di Outlook, inizia la procedura di autenticazione NTLM con il metodo challenge-response illustrato poco fa.
Download automatico e autenticazione NTLM
Quello che l’utente non sa, è che l’allegato dell’e-mail contiene codice HTML che rimanda a un server malevolo esterno. Pertanto, la procedura di autenticazione NTLM avviene tra il client e il server SMB di proprietà di un criminale informatico.
Perché Outlook non rileva il contenuto dannoso? In realtà, è probabile che una configurazione corretta di Outlook consenta all’applicazione di riconoscere l’allegato malevolo. Tuttavia, in questi casi è importante che l’utente sia altrettanto puntuale nel riconoscere il rischio e nell’accorgersi della notifica da parte del programma.
Un membro del personale di un’azienda, abituato ogni giorno a gestire allegati di vario tipo, potrebbe scambiare l’alert di Outlook per l’ennesimo “falso allarme” della giornata. Di fronte a un allegato apparentemente innocuo, come una firma in formato immagine, l’utente potrebbe ignorare l’alert e consentire il download automatico.
Intercettazione tramite listener per protocolli SMB
In preparazione al furto, il cyber actor si è attrezzato con un listener per protocolli SMB e sta ascoltando gli eventi in attesa del verificarsi di una certa situazione. Non appena avviene la richiesta automatica di Outlook al server SMB, il listener in ascolto intercetta la richiesta del client. Questa richiesta comprende vari dati dell’utente, tra cui l’hash dell’autenticazione NTLM.
Come visibile dallo screen precedente, il criminale ottiene alcuni dati relativi alla sessione del cliente, nonché informazioni sensibili come nome utente e hash NTLM. Una volta “catturata” questa password, un attaccante può crackarla con tecniche brute-force e associarla all’utente in questione. In questo modo, il criminale ottiene credenziali personali e può effettuare un attacco mirato contro l’utente.
Furto hash NTLM: conseguenze per l’utente
Una volta ottenute le credenziali, il criminale può scegliere di utilizzarle come meglio crede in base ai propri scopi. La strada più semplice, specialmente per i criminali informatici meno esperti, è quella della vendita delle credenziali nel dark web; le credenziali vengono poi acquistate e utilizzate da threat actor che hanno a disposizione mezzi più avanzati per eseguire attacchi complessi. Altre azioni che un threat actor può compiere includono:
- Trasferimento di denaro con attacco BEC (Business E-mail Compromise): dopo aver rubato l’hash NTLM, l’attaccante accede all’account e-mail di un dirigente. Da lì, invia e-mail fraudolente ai colleghi o ai partner aziendali, richiedendo trasferimenti di denaro a conti bancari sotto il suo controllo, provocando gravi perdite finanziarie.
- Esfiltrazione di dati sensibili: utilizzando l’hash NTLM, l’attaccante accede a condivisioni di rete contenenti dati sensibili come pianificazioni, contratti e informazioni sui clienti, copiandoli su un server esterno e compromettendo la riservatezza dei dati aziendali.
- Perdita di reputazione: con l’accesso all’account e-mail del direttore o di un responsabile, l’attaccante invia e-mail di phishing o contenenti malware ai contatti dell’azienda, danneggiando la reputazione dell’azienda e la fiducia dei clienti e partner.
- Accesso a dispositivi o sistemi aziendali: l’attaccante utilizza l’hash NTLM per accedere a computer aziendali e account amministrativi, rubando informazioni riservate, documenti sensibili e dati finanziari, che possono essere utilizzati per ulteriori attacchi o venduti sul mercato nero. Inoltre, può modificare, danneggiare o cancellare file causando interruzioni operative.
Strategie di difesa: perché affidarsi a un SOC
Per un’azienda, implementare una strategia di cybersecurity e cyber resilience in autonomia può essere proibitivo, sia dal punto di vista operativo che economico. Ecco perché il supporto di un partner IT competente può rendere più efficiente ed efficace la risposta alle minacce cyber più sofisticate. In particolare, il Security Operations Center (SOC) di un partner esterno può proteggere un’azienda dal furto di hash NTLM bloccando i protocolli weak, configurando policy specifiche a livello di firewall e monitorando 24/7 l’attività di una soluzione EDR.
Blocco dei protocolli weak
Uno dei primi passi per proteggere gli hash NTLM è bloccare i protocolli di autenticazione deboli. Ad esempio, NTLM v1 è un protocollo obsoleto, introdotto per la prima volto nel 1993 e non più in fase di sviluppo attiva. Nonostante sia tuttora molto diffuso, il protocollo è meno sicuro rispetto ai nuovi sistemi ed è sfruttato largamente dai cyber attaccanti. Ecco perché Microsoft ha recentemente deprecato l’autenticazione NTLM, incoraggiando gli sviluppatori a passare alle autenticazioni Kerberos o Negotiate.
Disabilitare o inibire il traffico in uscita tramite EDR e firewall
Gli attaccanti possono utilizzare il traffico di rete per esfiltrare gli hash NTLM. Implementare soluzioni di Endpoint Detection and Response (EDR) consente di monitorare e bloccare comportamenti sospetti sui dispositivi endpoint. Tuttavia, l’EDR potrebbe non rilevare tutto il traffico dannoso, quindi è fondamentale configurare il firewall per bloccare i protocolli SMB in uscita, spesso utilizzati per trasmettere gli hash NTLM rubati. La segmentazione della rete può ulteriormente limitare il traffico non necessario e rendere più difficile per gli attaccanti muoversi lateralmente.
Sensibilizzazione del personale
Molti attacchi informatici iniziano con l’inganno del personale in azienda. Investire in programmi di formazione e diffondere una cultura interna della cybersecurity è un passo fondamentale per ridurre la probabilità che questi attacchi si verifichino. Questo può essere fatto conducendo simulazioni di phishing per migliorare la consapevolezza dei dipendenti riguardo agli attacchi di ingegneria sociale, rendendoli meno vulnerabili a tali minacce.
LEGGI ANCHE: Infostealer: mitigare il rischio grazie a un SOC proattivo
