Във вторник Microsoft пусна актуализации за отстраняване на общо 130 нови пропуски в сигурността на своя софтуер, включително шест пропуски от типа „нулев ден“, които според компанията са били активно използвани.
От 130-те уязвимости девет са оценени като критични, а 121 са оценени като важни по отношение на сериозността. Това е в допълнение към осемте недостатъка, които технологичният гигант закърпи в своя базиран на Chromium браузър Edge в края на миналия месец.
Списъкът на проблемите, които са обект на активна експлоатация, е следният –
Производителите на Windows заявиха, че са наясно с целенасочени атаки срещу отбранителни и правителствени структури в Европа и Северна Америка, които се опитват да използват CVE-2023-36884 чрез използване на специално създадени примамки за документи на Microsoft Office, свързани с Украинския световен конгрес, като повториха последните констатации от BlackBerry.
„Нападателят може да създаде специално създаден документ на Microsoft Office, който му позволява да извърши отдалечено изпълнение на код в контекста на жертвата“, заявиха от Microsoft. „Нападателят обаче ще трябва да убеди жертвата да отвори зловредния файл“.
Компанията е сигнализирала за кампанията за проникване в руска киберпрестъпна група, която проследява като Storm-0978, известна още с имената RomCom, Tropical Scorpius, UNC2596 и Void Rabisu.
„Бандата разгръща и рансъмуер Underground, който е тясно свързан с рансъмуера Industrial Spy, наблюдаван за първи път в дивата природа през май 2022 г.“, обясни екипът на Microsoft Threat Intelligence. „Последната кампания на групата, засечена през юни 2023 г., включва злоупотреба със CVE-2023-36884 за предоставяне на задна врата със сходства с RomCom.“
Неотдавнашните фишинг атаки, организирани от бандата, са включвали използването на троянски версии на легитимен софтуер, хоствани на подобни уебсайтове, за внедряване на троянски кон за отдалечен достъп, наречен RomCom RAT, срещу различни украински и проукраински цели в Източна Европа и Северна Америка.
Въпреки че RomCom за пръв път беше засечена като група, свързана с рансъмуера Cuba, оттогава тя е свързана с други щамове на рансъмуер като Industrial Spy, както и с нов вариант, наречен Underground от юли 2023 г., който показва значително припокриване на изходния код с Industry Spy.
Microsoft заяви, че възнамерява да предприеме „подходящи действия, за да помогне за защитата на нашите клиенти“ под формата на извънсистемна актуализация на сигурността или чрез процеса на месечно освобождаване. При липса на кръпка за CVE-2023-36884 компанията призовава потребителите да използват правилото за намаляване на повърхността на атака (ASR) „Block all Office applications from creating child processes“.
От Редмънд съобщиха още, че са анулирали сертификатите за подписване на код, използвани за подписване и инсталиране на злонамерени драйвери в режим на ядрото на компрометирани системи чрез използване на вратичка в политиката на Windows за промяна на датата на подписване на драйвери преди 29 юли 2015 г., като са използвали инструменти с отворен код като HookSignTool и FuckCertVerifyTimeValidity.
Констатациите сочат, че използването на измамни драйвери в режим на ядрото набира популярност сред заплахите, тъй като те работят на най-високо ниво на привилегии в Windows, като по този начин правят възможно установяването на устойчивост за продължителни периоди от време, като същевременно се намесват във функционирането на софтуера за сигурност, за да избегнат откриване.
Понастоящем не е ясно как се експлоатират другите недостатъци и колко широко се разпространяват тези атаки. Но в светлината на активните злоупотреби се препоръчва потребителите да действат бързо, за да приложат актуализациите и да намалят потенциалните заплахи.
Освен от Microsoft, през последните няколко седмици актуализации за сигурност бяха пуснати и от други производители, за да се коригират няколко уязвимости, включително:
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
