Vulnerabilidad zero-day de Windows explotada en ataques de ransomware

AXCESS · Abril 11, 2023, 07:42:33 PM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Microsoft ha parcheado una vulnerabilidad de día cero en el Sistema de archivos de registro comunes de Windows (CLFS), que los ciberdelincuentes explotan activamente para escalar privilegios e implementar cargas útiles de ransomware Nokoyawa.

A la luz de su explotación en curso, CISA también agregó el día cero de Windows CVE-2023-28252 a su catálogo de Vulnerabilidades Explotadas Conocidas hoy, ordenando a las agencias de la Rama Ejecutiva Civil Federal (FCEB, por sus siglas en inglés) que aseguren sus sistemas contra él antes del 2 de mayo.

Esta falla de seguridad CLFS, rastreada como CVE-2023-28252, fue descubierta por Genwei Jiang de Mandiant y Quan Jin del WeBin Lab de DBAPPSecurity.

Afecta a todas las versiones compatibles de servidores y clientes de Windows y puede ser explotado por atacantes locales en ataques de baja complejidad sin interacción del usuario.

La explotación exitosa permite a los actores de amenazas obtener privilegios de SISTEMA y comprometer completamente los sistemas Windows específicos.

Microsoft corrigió este día cero y otros 96 errores de seguridad como parte del martes de parches de este mes, incluidas 45 vulnerabilidades de ejecución remota de código.

Explotado en ataques de ransomware

Los investigadores de seguridad del Equipo de Análisis e Investigación Global (GReAT) de Kaspersky también encontraron recientemente la falla CVE-2023-28252 explotada en los ataques de ransomware Nokoyawa.

"Los investigadores de Kaspersky descubrieron la vulnerabilidad en febrero como resultado de verificaciones adicionales en una serie de intentos de ejecutar vulnerabilidades similares de elevación de privilegios en servidores Microsoft Windows pertenecientes a diferentes pequeñas y medianas empresas en las regiones de Medio Oriente y América del Norte", dijo la compañía en un comunicado de prensa.

"CVE-2023-28252 fue detectado por primera vez por Kaspersky en un ataque en el que los ciberdelincuentes intentaron implementar una versión nueva del ransomware Nokoyawa".

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Según Kaspersky, la banda de ransomware Nokoyawa ha utilizado otros exploits dirigidos al controlador Common Log File System (CLFS) desde junio de 2022, con características similares pero distintas, vinculándolos a todos a un único desarrollador de exploits.

El grupo ha utilizado al menos cinco explotaciones CLFS más para apuntar a múltiples sectores verticales de la industria, incluidos, entre otros, el comercio minorista y mayorista, la energía, la fabricación, la atención médica y el desarrollo de software.

Redmond ha corregido al menos 32 vulnerabilidades de escalada de privilegios locales en el controlador CLFS de Windows desde 2018, tres de ellas (CVE-2022-24521, CVE-2022-37969 y CVE-2023-23376) también explotadas de forma salvaje como cero. días, según Kaspersky.

"Los grupos de ciberdelincuencia se están volviendo cada vez más sofisticados y utilizan exploits de día cero en sus ataques", dijo el investigador principal de seguridad, Boris Larin.

"Anteriormente, era principalmente una herramienta de los actores de amenazas persistentes avanzadas (APT), pero ahora los ciberdelincuentes tienen los recursos para adquirir los días cero y usarlos de forma rutinaria en los ataques".

Evolución del ransomware

El ransomware Nokoyawa apareció en febrero de 2022 como una cepa capaz de apuntar a sistemas basados en Windows de 64 bits en ataques de doble extorsión, donde los actores de amenazas también roban archivos confidenciales de redes comprometidas y amenazan con filtrarlos en línea a menos que se pague un rescate.

Nokoyawa comparte código con JSWorm, Karma y Nemty ransomware, y se reescribió en Rust a partir de septiembre de 2022, en un cambio de la versión inicial de Nokoyawa ransomware, desarrollada con el lenguaje de programación C.

"Las primeras variantes de Nokoyawa eran simplemente variantes 'rebautizadas' del ransomware JSWorm, sobre las que escribimos anteriormente", dijo Larin en el informe de hoy.

"En este ataque, los ciberdelincuentes utilizaron una versión más nueva de Nokoyawa que es bastante distinta del código base de JSWorm".

Fuente:
BleepingComputer
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Vulnerabilidad zero-day de Windows explotada en ataques de ransomware

AXCESS

Abril 11, 2023, 07:42:33 PM