Неотдавна поправената уязвимост „Windows MSHTML spoofing vulnerability“, проследена под CVE-2024-43461, вече е отбелязана като предварително експлоатирана, след като е използвана в атаки от хакерската група Void Banshee APT.

Когато беше разкрита за първи път като част от септемврийския 2024 Patch Tuesday, Microsoft не беше отбелязала уязвимостта като експлоатирана преди това. В петък обаче Microsoft актуализира консултацията за CVE-2024-43461, за да посочи, че тя е била използвана в атаки преди да бъде поправена.

Откриването на дефекта се приписва на Питър Гирнус, старши изследовател на заплахите в Zero Day на Trend Micro, който заявi, че недостатъкът CVE-2024-43461 е бил използван в атаки от типа „нулев ден“ от Void Banshee за инсталиране на зловреден софтуер за кражба на информация.

Void Banshee е APT хакерска група, проследена за пръв път от Trend Micro, която се насочва към организации в Северна Америка, Европа и Югоизточна Азия с цел кражба на данни za финансова изгода.

Нулевият ден CVE-2024-43461

През юли Check Point Research и Trend Micro съобщиха за едни и същи атаки, които използват нулевия ден на Windows, за да заразят устройствата с инфо-крадеца Atlantida, използван за кражба на пароли, бисквитки за удостоверяване и портфейли за криптовалути от заразените устройства.

Атаките използваха нулеви дни, проследени като CVE-2024-38112 (поправен през юли) и CVE-2024-43461 (поправен този месец), като част от веригата за атаки.

Откриването на нулевия ден CVE-2024-38112 се приписва на изследователя на Check Point Хайфей Лий, който казва, че той е бил използван, за да принуди Windows да отваря злонамерени уебсайтове в Internet Explorer, а не в Microsoft Edge, когато стартира специално създадени файлове с преки пътища.

„По-конкретно, нападателите са използвали специални файлове за бърз достъп до интернет в Windows (.url име на разширение), които при щракване са извиквали пенсионирания Internet Explorer (IE), за да посети контролирания от нападателя URL адрес“, обяснява Лий в доклад на Check Point Research от юли.

Тези URL адреси се използваха за изтегляне на злонамерен HTA файл и подканяха потребителя да го отвори. При отварянето му се стартирал скрипт за инсталиране на информационния крадец Atlantida.

Файловете HTA използваха друг нулев ден, проследен като CVE-2024-43461, за да скрият разширението на файла HTA и да накарат файла да изглежда като PDF, когато Windows подкани потребителите дали да го отворят.

Изследователят от ZDI Питър Гирнус заяви, че недостатъкът CVE-2024-43461 е бил използван и в атаките Void Banshee за създаване на състояние CWE-451 чрез имена на HTA файлове, които включват 26 кодирани брайлови бели знаци (%E2%A0%80), за да се скрие разширението .hta.

Името на файла започва като PDF файл, но включва двадесет и шест повтарящи се кодирани брайлови бели знаци (%E2%A0%80), последвани от крайното разширение „.hta“.

Books_A0UJKO. pdf%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80. hta

Когато Windows отвори този файл, брайловите бели символи избутват разширението HTA извън потребителския интерфейс, като в подканите на Windows те се разграничават само с низ „…“. Това води до появата на HTA файловете като PDF файлове, което увеличава вероятността те да бъдат отворени.