Il gruppo Lazarus ha utilizzato una vulnerabilità zero-day nel driver Windows AFD.sys per aumentare i privilegi e installare il rootkit FUDModule, che disabilita le funzioni di monitoraggio di Windows e consente di nascondere attività dannose.
Il driver Windows AFD.sys viene utilizzato per funzionare con il protocollo Winsock e funge da punto di ingresso nel kernel del sistema operativo.
Il CVE-2024-38193 (punteggio CVSS: 7,8) è stato corretto come parte del Patch Tuesday di agosto. Il CVE-2024-38193 si distingue dagli altri perché consente un attacco Bring Your Own Vulnerable Driver (BYOVD). In questo caso, gli aggressori installano driver con vulnerabilità sui sistemi di destinazione e poi li utilizzano per ottenere privilegi a livello di kernel.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il pericolo particolare della vulnerabilità AFD.sys è che il driver è installato per impostazione predefinita su tutti i dispositivi Windows. Ciò consente agli hacker di attaccare i sistemi senza dover installare driver vecchi e vulnerabili, che possono essere bloccati e facilmente rilevati dai meccanismi di sicurezza di Windows. Pertanto, lo sfruttamento della vulnerabilità diventa meno evidente e più efficace.
La vulnerabilità è stata scoperta per la prima volta da Gen Digital. Gli esperti hanno notato che il gruppo Lazarus ha utilizzato il problema per installare il rootkit FUDModule, che è in grado di nascondere le sue azioni agli strumenti di sicurezza.
Gli esperti sottolineano che tali attacchi rappresentano una seria minaccia alla sicurezza perché consentono agli aggressori di ottenere un accesso non autorizzato alle aree critiche del sistema.
Gen Digital non ha rivelato dettagli su chi è stato preso di mira dall’attacco o quando è avvenuto. Vale la pena notare che il gruppo Lazarus ha utilizzato tecniche simili in passato, sfruttando i driver vulnerabili come appid.sys e dbutil_2_3.sys per installare FUDModule.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cultura
Cybercrime
Cybercrime
Cultura
Cybercrime