Redazione RHC : 20 Agosto 2024 11:57
Il gruppo Lazarus ha utilizzato una vulnerabilità zero-day nel driver Windows AFD.sys per aumentare i privilegi e installare il rootkit FUDModule, che disabilita le funzioni di monitoraggio di Windows e consente di nascondere attività dannose.
Il driver Windows AFD.sys viene utilizzato per funzionare con il protocollo Winsock e funge da punto di ingresso nel kernel del sistema operativo.
Il CVE-2024-38193 (punteggio CVSS: 7,8) è stato corretto come parte del Patch Tuesday di agosto. Il CVE-2024-38193 si distingue dagli altri perché consente un attacco Bring Your Own Vulnerable Driver (BYOVD). In questo caso, gli aggressori installano driver con vulnerabilità sui sistemi di destinazione e poi li utilizzano per ottenere privilegi a livello di kernel.
Sei un Esperto di Formazione?
Entra anche tu nel Partner program! Accedi alla sezione riservata ai Creator sulla nostra Academy e scopri i vantaggi riservati ai membri del Partner program.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Il pericolo particolare della vulnerabilità AFD.sys è che il driver è installato per impostazione predefinita su tutti i dispositivi Windows. Ciò consente agli hacker di attaccare i sistemi senza dover installare driver vecchi e vulnerabili, che possono essere bloccati e facilmente rilevati dai meccanismi di sicurezza di Windows. Pertanto, lo sfruttamento della vulnerabilità diventa meno evidente e più efficace.
La vulnerabilità è stata scoperta per la prima volta da Gen Digital. Gli esperti hanno notato che il gruppo Lazarus ha utilizzato il problema per installare il rootkit FUDModule, che è in grado di nascondere le sue azioni agli strumenti di sicurezza.
Gli esperti sottolineano che tali attacchi rappresentano una seria minaccia alla sicurezza perché consentono agli aggressori di ottenere un accesso non autorizzato alle aree critiche del sistema.
Gen Digital non ha rivelato dettagli su chi è stato preso di mira dall’attacco o quando è avvenuto. Vale la pena notare che il gruppo Lazarus ha utilizzato tecniche simili in passato, sfruttando i driver vulnerabili come appid.sys e dbutil_2_3.sys per installare FUDModule.
RedazioneDopo il caso dei 568 endpoint di un’azienda italiana del settore macchinari industriali, un altro accesso compromesso relativo a una società italiana di ingegneria del software &...
Il ritorno di Donald Trump alla Casa Bianca è diventato un doloroso promemoria per l’Europa della sua principale vulnerabilità digitale: il “kill switch” di fatto contro...
Oggi, 23 giugno 2025, esce “Byte The Silence”, il nuovo fumetto sul cyberbullismo realizzato da Red Hot Cyber, è disponibile da oggi gratuitamente in formato elettronico, sulla nost...
Il 17 giugno 2025 un attacco informatico ha paralizzato Bank Sepah, una delle principali istituzioni finanziarie dell’Iran. L’attacco è stato rivendicato dal gruppo Predatory ...
La primavera 2025 verrà ricordata come un punto di svolta nella cronaca cyber del nostro Paese. Mentre si susseguono bollettini e comunicati tecnici, un dato emerge in modo lampante: AKIRA è...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
