Windows-kwetsbaarheid sinds juni misbruikt voor installatie van rootkit

[Captain Kirk]

Aanvallers hebben sinds juni een kwetsbaarheid in Windows gebruikt voor de installatie van een rootkit, zo stelt securitybedrijf Gen Digital. Microsoft rolde vorige week dinsdag een beveiligingsupdate uit om het probleem te verhelpen. Via het beveiligingslek in de Windows Ancillary Function Driver, aangeduid als CVE-2024-38193, kan een aanvaller die al toegang tot een systeem heeft SYSTEM-rechten krijgen.

Deze rechten gebruikten de aanvallers voor de installatie van de FudModule-rootkit, waarmee de aanvallers hun activiteiten voor aanwezige beveiligingssoftware kunnen verbergen, aldus het securitybedrijf. Ook kan de rootkit aanwezige antivirus- en monitoringssoftware uitschakelen. "De kwetsbaarheid liet aanvallers normale beveiligingsbeperkingen omzeilen en gevoelige systeemgebieden bereiken die die meeste gebruikers en systeembeheerders niet kunnen bereiken", zegt Emma Brownstein van Gen Digital, waar onder andere Norton, Avast, Avira, AVG en CCleaner deel van uitmaken.

Het is niet voor het eerst dat aanvallers voor de installatie van de FudModule-rootkit een kwetsbaarheid in Windows gebruiken waar op het moment van de aanval geen update voor beschikbaar is. Dat gebeurde ook al eerder dit jaar. Volgens Gen Digital zit de Noord-Koreaanse Lazarus Group achter de aanvallen. De groep wordt verantwoordelijk gehouden voor de verspreiding van de WannaCry-ransomware, de hack van Sony Pictures Entertainment in 2014 en de diefstal van 81 miljoen dollar van een bank in Bangladesh in 2016. Daarnaast zou de groep honderden miljoenen euro's aan cryptovaluta bij cryptobeurzen en -bedrijven hebben gestolen.

 

bron: https://www.security.nl