CVE-2023-23397 Hashes to hashes

Met CVE-2023-23397 kan een aanvaller een e-mail versturen met een schadelijke payload, zoals een UNC-locatie onder controle van de aanvaller. Dit zorgt ervoor dat de Outlook-client van het slachtoffer automatisch verbinding maakt en de wachtwoordhash van de Net-NTLMv2-gebruiker daar plaatst.

Iedereen gebruikt wachtwoordhashing dagelijks; bij het aanmelden op een systeem wordt een ingegeven wachtwoord 'gehashed' en vergeleken met de opgeslagen hash. Als dit overeenkomt, krijgt de gebruiker toegang tot het systeem. De hash wordt daarna gebruikt voor autorisatie, zodat niet steeds het wachtwoord hoeft te worden opgegeven. Als iemand de hash bezit, kan deze worden gebruikt voor ongeautoriseerde toegang tot systemen.

Met wachtwoordhashing wordt een wachtwoord (of andere gegevens) omgezet in een korte reeks letters en cijfers met behulp van een versleutelingsalgoritme, zoals MD5 of SHA256. Gewoonlijk worden deze hashes opgeslagen in bestanden.

Het wachtwoord "helloworld" heeft met MD5 deze hash: fc5e038d38a57032085441e7fe7010b0 Het wachtwoord "hell0world" heeft met MD5 deze hash: 0a123b92f789055b946659e816834465

Het gevaarlijke aan dit lek is dat er geen enkele interactie van gebruikers vereist is; enkel het versturen van een e-mail is al voldoende. Het bericht hoeft niet eens in het voorbeeldvenster te worden geladen—zodra de e-mail door de Outlook-client wordt verwerkt, is diefstal van de Net-NTLMv2-hash mogelijk. De aanvaller kan vervolgens deze hash gebruiken om zich als het slachtoffer te authenticeren bij andere diensten.

Het probleem, CVE-2023-23397, treft alle ondersteunde versies van Microsoft Outlook voor Windows; andere versies zijn niet kwetsbaar. Microsoft heeft beveiligingsupdates uitgebracht en beoordeelde deze kwetsbaarheid met een 9.8 op schaal van 1 tot 10. Dit betreft een "Elevation of Privilege" kwetsbaarheid—een categorie die meestal niet als kritiek wordt beschouwd, maar in dit geval wel.

Door de schadelijke e-mail kan de aanvaller het slachtoffer laten inloggen bij diens server, waarbij de hash wordt verstuurd en onderschept. Dit proces werkt zelfs als het slachtoffer het laden van remote afbeeldingen heeft uitgeschakeld. De kwetsbaarheid werd ontdekt door het Computer Emergency Response Team van Oekraïne, Microsoft Incident Response en Microsoft Threat Intelligence. Volgens Microsoft werd deze kwetsbaarheid misbruikt door een groep die opereert vanuit Rusland.

Microsoft heeft een PowerShell-script beschikbaar gesteld waarmee beheerders kunnen controleren of hun systemen via deze kwetsbaarheid zijn aangevallen.

Te ondernemen acties:

1. Mailflow tijdelijk onderbreken.

2. Outlook sluiten en overschakelen naar webmail.

3. Outlook patchen via de beveiligingsupdate (Windows Update, handmatig of via een start-up script).

4. Firewall aanpassen om UNC-paden naar buiten en binnen tegen te gaan en het SMB-protocol naar buiten te blokkeren.

5. Controle uitvoeren of de patch goed is toegepast.

6. Mailflow herstellen.

7. Mailserver scannen met het door Microsoft geleverde script CVE-2023-23397.ps1.

Script vereisten:

Het script moet worden uitgevoerd op een mailserver en communiceert via Exchange Web Services (EWS) om gebruikersmailboxen te controleren op e-mails met een UNC-pad. Een UNC-pad ziet eruit als: \\hostname\sharename\filename Hoewel het niet vaak voorkomt, is een UNC-pad in een e-mail op zich niet verdacht.

Eerst moet een rolgroep worden aangemaakt met de juiste machtigingen:  

New-RoleGroup -Name "CVE-2023-23397-Script" -Roles "ApplicationImpersonation" -Description "Permission to run the CVE-2023-23397 script"

Vervolgens moet het account dat het script uitvoert worden toegevoegd aan deze rolgroep. Het account moet tevens Global Admin zijn en de rol Exchange Organizational Management hebben.

Script uitvoeren: Start PowerShell als administrator en navigeer naar de map waar het script zich bevindt. Gebruik vervolgens de volgende opdracht:

Get-Mailbox -ResultSize Unlimited | .\CVE-2023-23397.ps1 -Environment Onprem -EWSServerURL https://127.0.0.1/EWS/Exchange.asmx -IgnoreCertificateMismatch

De Get-Mailbox-opdracht haalt alle gebruikersmailboxen op en geeft deze aan het script. Het script controleert stuk voor stuk alle mailboxen, wat enige tijd kan duren. De uitvoer toont de voortgang en genereert een CSV-bestand met alle e-mails die een UNC-pad bevatten. Dit betekent niet direct dat er schadelijke inhoud aanwezig is, maar nader onderzoek is noodzakelijk.

Zo. Op naar het volgende lek.

Is my password safe

 

Een veilige wachtwoordmanager zonder dure cloudservices? Dit is mijn oplossing.

Wat ik altijd miste, was een veilige én betaalbare manier om mijn wachtwoordendatabase op meerdere apparaten te gebruiken. Overal toegang hebben tot je eigen wachtwoorden — dat is toch geweldig? Het stelt je in staat om unieke, sterke wachtwoorden te gebruiken zonder ze zelf te hoeven onthouden.

Ik heb lang naar online platforms gekeken, maar ik schrok telkens van de kosten. En eerlijk gezegd: als ál je wachtwoorden op één plek staan, dan is die plek ook meteen een gigantisch aantrekkelijk doelwit. En dat is al meerdere keren misgegaan. Grote platforms zijn gehackt, wachtwoorden zijn gelekt — verschrikkelijk.

Maar treur niet. Er is een simpele, doeltreffende oplossing die verrassend goed werkt, zonder dat je vastzit aan een abonnement of het risico van grootschalige cloudlekken.

Mijn opzet:

• KeePass op je pc: een gratis en open source wachtwoordmanager die je volledige database versleutelt. Alleen toegankelijk met jouw hoofdwachtwoord.

• Database in OneDrive: zo heb je je versleutelde database veilig beschikbaar in de cloud, maar wél in je eigen beheer.

• KeepassDroid op je telefoon: hiermee open je de database ook op Android. Voor iOS zijn er alternatieven als KeePassium of Strongbox.

KeePass werkt standaard lokaal op je pc, maar in combinatie met OneDrive (of een andere syncdienst zoals Dropbox of Google Drive) kun je overal veilig bij je gegevens. Dankzij de brede platformondersteuning open je dezelfde versleutelde database op vrijwel elk apparaat — van desktop tot smartphone.

Kortom: geen maandelijkse kosten, geen afhankelijkheid van commerciële cloudaanbieders, en tóch overal veilig toegang tot je wachtwoorden.

Dune II The Building of a Legacy

 

Dune II: Het begin van de real-time strategie

Dune II: The Building of a Dynasty was de eerste échte real-time strategy game, ontwikkeld door Westwood Studios in 1992—tegenwoordig onderdeel van EA. Het spel verscheen voor MS-DOS en betekende een revolutionaire stap voorwaarts. Tot dan toe waren strategiespellen bijna altijd turn-based. Je keek machteloos toe hoe de tegenstander je langzaam versloeg, wachtend op je volgende beurt. Dune II veranderde dat radicaal: eindelijk kon je direct actie ondernemen, zonder te wachten.

Het concept werd later nog verder verfijnd en gepopulariseerd met Westwoods eigen Command & Conquer, maar Dune II legde de fundering.

Gebaseerd op een klassieker

Het spel is geïnspireerd op de beroemde sciencefictionboeken van Frank Herbert: Dune. De ‘II’ in de titel verwijst naar een eerder (en totaal ander) adventure game. Je hoeft het boek of die eerste game echter niet te kennen om het spel te begrijpen.

De opzet is eenvoudig maar briljant: drie adellijke huizen — de nobele Atreides, de sluwe Ordos en de kwaadaardige Harkonnen — strijden om de heerschappij over de zandplaneet Dune, in opdracht van de keizer. De inzet? Het kostbare “Spice”, een grondstof die cruciaal is voor interstellaire ruimtevaart.

Strategie op het zand

Als speler begin je elk level met een kleine basis. Je bouwt een Spiceraffinaderij, stuurt je harvesters het zand op en breidt je basis langzaam uit met fabrieken, barakken en verdedigingssystemen. Met elk nieuw level wordt je arsenaal groter, totdat je uiteindelijk de strijd aangaat met de keizer zelf.

Onderweg word je niet alleen tegengewerkt door de andere huizen, maar ook door gigantische zandwormen en lokale bewoners. Het spel is langzaam, intens en allesomvattend.

Persoonlijke herinneringen

Ik heb dit spel urenlang, wekenlang, maandenlang gespeeld — met alle drie de partijen. Ik kreeg het ooit op floppy’s, ik meen vier stuks. Via het beroemde ‘sneaker net’ — piraterij op sneakers. Mijn Tulip 286 kon het nét aan, voorzien van een SoundBlaster-kaart met AdLib-emulatie. Opstarten moest met Himem.sys geladen, om een whopping 1024 KB RAM te benutten.

De bediening was traag en bewerkelijk: elk mannetje, elk voertuig moest je handmatig ergens naartoe slepen met de muis. Maar het gevoel van controle en overzicht was ongekend verslavend.

Audio: de ziel van het spel

En dan dat geluid. Digitale stemcommando’s als “Moving out!” als je soldaatjes op pad stuurde, of “Affirmative” bij verkenningseenheden. En natuurlijk de MIDI-muziek: deze tracks zijn voorgoed in mijn brein gebrand. Geen streaming, geen Spotify — gewoon de pure chipsounds via de zelfbouwspeakers van een vriend van me.

Pas jaren later ontdekte ik wie de componist was: Frank Klepacki. Ik heb zelfs contact met hem gezocht. Zijn muziek is tijdloos, en gelukkig kun je de originele AdLib-versie nu gewoon op internet terugvinden. Nog steeds klinkt het nergens zo vertrouwd als toen, thuis achter dat oude scherm.

Mijn favoriete track? Moeilijk te zeggen. “Faithful Warriors”? Of toch “Desert of Doom”? Nee wacht, “Adrenaline Rush”! Of eigenlijk… ze zijn allemaal zo goed.

Adobe Creative Out

Adobe Creative Cloud verwijderen: eenvoudiger gezegd dan gedaan

Bij het installeren van veel Adobe-producten krijg je automatisch de Adobe Creative Cloud-app meegeleverd. Of je treft het programma al aan op een laptop die je hebt overgenomen. Het verwijderen ervan blijkt echter allesbehalve eenvoudig.

Zo moet je vaak eerst inloggen met een Adobe-account om überhaupt iets te kunnen doen—een probleem als je dat account niet hebt of niet kunt achterhalen. Tot overmaat van ramp verschijnt de app niet in het Configuratiescherm onder ‘Programma’s verwijderen’.

In mijn geval heb ik zelfs geprobeerd contact op te nemen met een van de ontwikkelaars van de app, Daniel Ciocîrlan. Helaas heb ik tot op heden geen reactie ontvangen.

Wat dan wel?

Gelukkig biedt Adobe zelf een oplossing, al is die wat omslachtig: de Uninstall Adobe Creative Cloud App tool. In plaats van het probleem binnen hun software op te lossen, maken ze een aparte tool om het te omzeilen.

Desondanks: het werkt. Deze ‘paardenmiddel’-tool verwijdert Adobe Creative Cloud snel en volledig van je systeem.

Je kunt de tool downloaden via de officiële Adobe-website. Eenmaal uitgevoerd, heb je eindelijk weer controle over je eigen pc.

Context is everything

In Windows 11 is het contextmenu sterk vereenvoudigd. Voor de meeste doorsnee gebruikers is dat geen probleem, maar wie systemen beheert of intensief met bestanden werkt, mist al snel belangrijke opties zoals 'Uitpakken', 'Openen met', 'Knippen' of 'Kopiëren'.

Gelukkig is er een eenvoudige manier om het uitgebreide, klassieke contextmenu terug te krijgen.

Zo stel je het in:

1. Open een Opdrachtprompt (Cmd) als administrator.
   (Typ cmd in het startmenu, klik met de rechtermuisknop en kies Als administrator uitvoeren.)

2. Voer onderstaande opdracht in en druk op Enter:

   reg add HKCU\Software\Classes\CLSID\{86ca1aa0-34aa-4e8b-a509-50c905bae2a2}\InprocServer32 /ve /d "" /f

3. Start Windows Verkenner opnieuw op of meld je af en weer aan.

Na het uitvoeren van deze stappen verschijnt het klassieke contextmenu weer direct bij een rechtermuisklik — zonder dat je op "Meer opties weergeven" hoeft te klikken.

Wil je de wijziging later ongedaan maken? Verwijder dan de betreffende registersleutel via:

reg delete HKCU\Software\Classes\CLSID\{86ca1aa0-34aa-4e8b-a509-50c905bae2a2} /f

Laat het weten als je dit als .reg-bestand of PowerShell-script wilt ontvangen.

 

Windows Upgrade Speedrun

 Windows upgrades duren soms lang. Je kan ze versnellen door niet noodzakelijke services uit te schakelen met onderstaande script.

Echo ActiveX Installer (AxInstSV)

net stop AxInstSV

Echo Application Layer Gateway Service

net stop ALG

Echo Application Management

net stop AppMgmt

Echo Auto Time Zone Update

net stop tzautoupdate

Echo Bluetooth Support Service

net stop bthserv

Echo Connected Devices Platform Service"

net stop CDPUserSvc

Echo Certificate Propagation

net stop CertPropSvc

Echo Computer Browser

net stop browser

Echo Contact Data

net stop PimIndexMaintenancesvc

Echo Distributed Link Tracking Client

net stop TrkWks

Echo Distributed Transaction Coordinator

net stop MSDTC

Echo Device Management Wireless Application Protocol (WAP) Push message Routing Service

net stop dmwappushsvc

Echo DNS Client

net stop Dnscache

Echo Downloaded Maps Manager (Windows Maps)

net stop MapsBroker

Echo Function Discovery Resource Publication

net stop FDResPub

Echo Geolocation Service

net stop lfsvc

Echo Human Interface Device Access

net stop HvHost

Echo Internet Connection Sharing (ICS)

net stop SharedAccess

Echo IP Helper

net stop iphlpsvc

Echo Link-Layer Topology Discovery Manager

net stop lltdsvc

Echo Link-Layer Topology Discovery Mapper

net stop lltdsvc

Echo Microsoft Account Sign-in Assistant

net stop wlidsvc

Echo Microsoft App-V Client

net stop AppVClient

Echo Microsoft Iscsi Initiator Service

net stop MSiSCSI

Echo Microsoft Passport

net stop NgcSvc

Echo Microsoft Passport Container

net stop NgcCtnrSvc

Echo Multimedia Class Scheduler

net stop MMCSS

Echo Net.Tcp Port Sharing Service

net stop NetTcpPortSharing

Echo Netlogon

net stop Netlogon

Echo Network Connection Broker

net stop NcbService

Echo Network List Service

net stop netprofm

Echo Network Location Awareness

net stop NlaSvc

Echo Offline files

net stop cscService

Echo Phone Service

net stop PhoneSvc

Echo Portable Device Enumerator Service

net stop WPDBusEnum

Echo Print Spooler

net stop Spooler

Echo Printer Extensions and Notifications

net stop PrintNotify

Echo Program Compatibility Assistant Service

net stop PcaSvc

Echo Quality Windows Audio Video Experience

net stop QWAVE

Echo Radio Management Service

net stop RmSvc

Echo Remote Access Auto Connection Manager

net stop RasAuto

Echo Remote Access Connection Manager

net stop RasMan

Echo Remote Registry

net stop RemoteRegistry

Echo Resultant Set of Policy Provider

net stop RSoPProv

Echo Routing and Remote Access

net stop RemoteAccess

Echo Secondary Logon

net stop seclogon

Echo Sensor Data Service

net stop SensorDataService

Echo Sensor Monitoring Service

net stop SensrSvc

Echo Sensor Service

net stop SensorService

Echo Shell Hardware Detection

net stop ShellHWDetection

Echo Smart Card

net stop SCardSvr

Echo Smart Card Device Enumeration Service

net stop ScDeviceEnum

Echo Smart Card Removal Policy

net stop SCPolicySvc

Echo Special Administration Console Helper

net stop sacsvr

Echo SSDP Discovery

net stop SSDPSRV

Echo Still Image Acquisition Events

net stop WiaRpc

Echo Sync Host

net stop OneSyncSvc

Echo Tablet PC Input Service

net stop TabletInputService

Echo Telephony

net stop tapisrv

Echo Touch Keyboard and Handwriting Panel

net stop TabletInputService

Echo UPnP Device Host

net stop upnphost

Echo User Data Access

net stop UserDataSvc

Echo User Data Storage

net stop UnistoreSvc

Echo User Experience Virtualization Service

net stop UevAgentService

Echo Volume Shadow Copy

net stop VSS

Echo WalletService

net stop WalletService

Echo Windows Audio

net stop Audiosrv

Echo Windows Audio Endpoint Builder

net stop AudioEndpointBuilder

Echo Windows Camera Frame Server

net stop FrameServer

Echo Windows CardSpace

net stop idsvc

Echo Windows Color System

net stop wcs

Echo Windows Image Acquisition (WIA)

net stop stisvc

Echo Windows Insider Service

net stop wisvc

Echo Windows Mobile Hotspot Service

net stop icssvc

Echo Windows Push Notifications System Service

net stop WpnService

Echo Windows Push Notifications User Service

net stop WpnUserService

Echo Windows Search

net stop WSearch

Echo WinHTTP Web Proxy Auto-Discovery Service

net stop WinHttpAutoProxySvc

Echo WMI Performance Adapter

net stop wmiApSrv

Echo Xbox Live Auth Manager

net stop XblAuthManager

Echo Xbox Live Game Save

net stop XblGameSave

Winamp, It Really Whips the Llama's Ass

Winamp leeft weer! Eerste nieuwe release sinds 2013

Voor het eerst sinds november 2013 is er weer een nieuwe versie van Winamp verschenen. De legendarische mediaplayer die in de jaren '90 en 2000 het MP3-tijdperk vormgaf, is terug van (bijna) weggeweest. Na een reeks overnames en de opkomst van streamingdiensten verdween Winamp langzaam uit beeld — maar gelukkig heb ik nog steeds gigabytes aan MP3’s die schreeuwen om weer afgespeeld te worden.

Winamp werd in 1997 ontwikkeld door Nullsoft, en deze nieuwe versie lijkt een knipoog naar het 25-jarig jubileum. Ik heb zelf eindeloos veel uren gespendeerd met deze player, altijd met de klassieke default skin. Toch kende Winamp een gigantische community die allerlei skins maakte — van subtiel tot compleet onbruikbaar flashy.

Later kwamen daar ook de ‘visualizations’ bij: psychedelische animaties die reageerden op de muziek. Die effecten werden zó populair dat zelfs Apple ze overnam voor iTunes op de Mac, compleet met reclames waarin ze prominent getoond werden. Eén van de bekendste visualizations blijft toch wel MilkDrop, uitgebracht in 2001 — pure nostalgie.

Download Winamp hier!