Нова вразливість Windows — лазівка для отримання привілеїв рівня ядра

Нещодавні результати досліджень експертів із кібербезпеки свідчать про те, що Lazarus Group, відома хакерська група, пов’язана з Північною Кореєю, використала вразливість нульового дня в драйвері Windows AppLocker для отримання привілеїв рівня ядра. Ця вразливість, позначена як CVE-2024-21338, дала змогу групі обійти заходи безпеки та здійснити непомітні кібервтручання.

Дослідники кібербезпеки виявили складну кібератаку, організовану сумнозвісною групою Lazarus Group, яка скористалася вразливістю нульового дня в драйвері Windows AppLocker. Ця вразливість, тепер ідентифікована як CVE-2024-21338, дала змогу зловмисникам підвищити привілеї до рівня ядра, ефективно обійти заходи безпеки та скомпрометувати цільові системи.

Як повідомляє bleepingcomputer.com, аналітики Avast, що пильно стежать за кібербезпекою, виявили зловмисну активність і негайно повідомили про це Microsoft, що призвело до виправлення вразливості в рамках «Вівторка виправлень» лютого 2024 року. Хоча компанія Microsoft офіційно не визнала цю вразливість експлойтом нульового дня, інцидент демонструє невпинну винахідливість кіберзлочинців у використанні навіть найнадійніших систем.

Новий етап у світі кібервторгнень

Lazarus Group — кіберзлочинне угруповання, пов’язане з Північною Кореєю, — уже давно перебуває на передовій здійснення складних кібератак, націлених на організації в різних секторах економіки по всьому світу. У цьому останньому викритті експерти Avast виявили, як зловмисники вміло маніпулюють вразливостями системи Windows для реалізації своїх злочинних намірів.

Використання вразливості CVE-2024-21338 дало змогу учасникам Lazarus поповнити свій арсенал оновленою версією руткіту FudModule — інструмента, раніше задокументованого компанією ESET у 2022 році. Цей удосконалений руткіт містить розширені функції та можливості для прихованої роботи, що є серйозним викликом для традиційних засобів захисту.

Анатомія атаки

В основі діяльності Lazarus лежить маніпуляція з драйвером Windows AppLocker, appid.sys, — критично важливим компонентом, що відповідає за внесення застосунків до білих списків. Скориставшись вразливістю цього драйвера, зловмисники організували низку хитромудрих маневрів, щоб обійти засоби перевірки безпеки та закріпитися в скомпрометованих системах.

Техніка експлуатації полягала у створенні примітиву читання/записування ядра в руткіті FudModule, який надавав учасникам Lazarus необмежений доступ до критично важливих системних ресурсів. Це дало змогу групі виконувати безпосередні маніпуляції об’єктами ядра (DKOM), ефективно виводячи з ладу продукти безпеки та забезпечуючи постійний доступ до зламаних систем.

Виявлення нових загроз

Розслідування експертів Avast виявило не лише використання вразливості CVE-2024-21338, але й існування раніше незадокументованого трояна для віддаленого доступу (RAT), яким користувалися учасники Lazarus. Це відкриття свідчить про постійну еволюцію кіберзагроз і потребу в пильності й інноваціях у сфері кібербезпеки.

Поки експерти з кібербезпеки готуються поділитися детальнішою інформацією про новий ландшафт загроз на конференції BlackHat Asia у квітні, організаціям рекомендується зберігати пильність і приділяти першочергову увагу впровадженню виправлень для системи безпеки. Якщо цього не робити, вони можуть стати вразливими до прихованих атак, здатних обходити традиційні механізми виявлення.

Посилення засобів захисту

З огляду на витончену тактику експлуатації зловмисників Lazarus, організаціям рекомендується негайно застосовувати найновіші оновлення безпеки. Оновлення «Вівторка виправлень» лютого 2024 року надають критично важливий захист від відомих вразливостей, зокрема CVE-2024-21338, знижуючи ризик їх використання кіберзлочинцями.

Крім того, фахівцям із кібербезпеки рекомендується використовувати правила YARA, запропоновані компанією Avast, для виявлення та блокування будь-якої підозрілої активності, пов’язаної з руткітом FudModule. Застосовуючи проактивний і комплексний підхід до кібербезпеки, організації можуть ефективно захистити свої цифрові активи від нових загроз у кіберсередовищі, яке стає дедалі більш ворожим.

Не дайте зловмисникам скористатися вразливостями у вашій мережі — налаштуйте ефективну систему захисту за допомогою DigVel!