Kaspersky Lab descoperă încă o vulnerabilitate Windows de tipul zero day
Tehnologiile automate ale Kaspersky Lab a detectat o vulnerabilitate necunoscută a sistemului de operare Microsoft Windows. Aceasta era folosită de un grup de hackeri necunoscuți într-o încercare de a controla complet dispozitivul țintă.
Atacul a vizat centrul sistemului – kernel-ul – printr-un backdoor construit dintr-un element esențial al sistemului de operare Windows, a anunțat Kaspersky Lab, conform curierulnational.ro.
Backdoor-urile sunt un tip extrem de periculos de malware, deoarece le permit atacatorilor să controleze discret dispozitivele infectate, în interesul lor. O asemenea escaladare a privilegiilor de la o terță parte este, de obicei, greu de ascuns de soluțiile de securitate. Cu toate acestea, un backdoor care profită de un bug necunoscut anterior din sistem – o vulnerabilitate de tip zero-day – are șanse mult mai mari să treacă neobservat. Soluțiile obișnuite de securitate nu pot recunoaște infectarea sistemului și nici nu pot proteja utilizatorii de amenințările recunoscute până în prezent.
Tehnologia Exploit Prevention de la Kaspersky Lab a reușit, totuși, să detecteze încercarea de a exploata vulnerabilitatea necunoscută din Microsoft Windows. Scenariul de atac descoperit a fost următorul: odată ce fișierul .exe malware era lansat, începea instalarea programului malware. Infecția a folosit o vulnerabilitate zero-day și a obținut privilegii pentru persistența cu succes pe dispozitivul victimei. Malware-ul iniția apoi lansarea unui backdoor dezvoltat cu un element legitim al Windows, prezent pe toate dispozitivele care rulează acest sistem de operare – o structură de scripting denumită Windows PowerShell. Acest lucru le-a permis atacatorilor să treacă neobservați și să evite detecția, economisindu-le timpul necesar scrierii codului pentru instrumentele periculoase. Malware-ul a descărcat apoi un alt backdoor de la un serviciu popular de stocare de text, legitim, care, la rândul său, le-a dat infractorilor control total asupra sistemului infectat.
Vulnerabilitatea înregistrată sub numele CVE-2019-0859 nu a fost singura, o altă vulnerabilitate înregistrată sub numele CVE-2019-0803 a fost descoperită de echipa de securitate a Alibaba. CVE-2019-0803 a fost descrisă de Microsoft luna aceasta ca fiind o vulnerabilitate folosită de hackeri. Ambele vulnerabilități au fost remediate de Microsoft în actualizarea de pe 10 aprilie. Ambele vulnerabilități vizau procesul de fișiere win32k.sys folosit de diversele componente și servere ale sistemului de operare Windows, de la Windows 7 la Windows 10 pentru sistemele de 32 și 64 de biți, conform redmondmag.com.
Vasily Berdnikov și Boris Larin ai Kaspersky Lab au descoperit vulnerabilitatea CVE-2019-0859, conform Microsoft. Vulnerabilitatea a fost raportată pe 17 martie 2019. Kaspersky Lab a descris autorii malware-ului drept un grup APT (advanced persistent threat) încă neidentificat.
De asemenea, Microsoft a remediat și în luna martie o vulnerabilitate de tipul zero day care fusese descoperită de cercetătorii Kaspersky Lab, scrie securityportalro.
Vulnerabilitatea descoperită de cercetătorii Kaspersky Lab este un bug care permite atacatorului să obțină privilegii de administrator și după aceea să se folosească de acestea pentru a instala noi programe; pentru a vedea, schimba sau șterge informații; sau pentru a crea noi conturi care să aibă drept de acces peste tot. Această vulnerabilitate afectează toate versiunile de Windows, inclusiv Windows 10.
