Специалисты в области кибербезопасности обнаружили, что хакерская группировка Lazarus, предположительно связанная с правительством Северной Кореи, использовала уязвимость нулевого дня в Windows для установки сложного руткита FudModule. Уязвимость позволяет получать максимальные права в системе.

Источник изображения: anonymous_Pete-Linforth/Pixabay

Как сообщает издание Ars Technica со ссылкой на представителей компании Gen, уязвимость, получившая идентификатор CVE-2024-38193, относится к классу «use after free» и находится в драйвере AFD.sys, который используется для работы с протоколом Winsock и служит точкой входа в ядро операционной системы. Microsoft предупредила, что данная уязвимость может быть использована злоумышленниками для получения системных привилегий, позволяющих исполнять неподтверждённый код.

«Уязвимость позволяла злоумышленникам обходить стандартные механизмы безопасности и получать доступ к чувствительным областям системы, недоступным большинству пользователей и даже администраторам, — говорится в отчёте Gen. — Этот тип атаки является сложным и ресурсоёмким, а его стоимость на чёрном рынке может достигать нескольких сотен тысяч долларов». Напомним, руткит FudModule был впервые обнаружен в 2022 году. Он способен скрывать своё вредоносное присутствие в системе, обходя антивирусы и другие средства защиты.

Ранее хакеры из Lazarus использовали технику «Bring your own vulnerable driver» (Принеси свой уязвимый драйвер) для установки более ранних версий FudModule. Однако в этот раз они воспользовались ошибкой в системном драйвере appid.sys, который по умолчанию присутствовал до сегодняшнего дня во всех версиях Windows.

Компания Gen не раскрывает подробности относительно того, как долго хакеры эксплуатировали уязвимость CVE-2024-38193, сколько организаций пострадали от атак, и удалось ли антивирусным программам обнаружить последнюю версию FudModule.

Microsoft обвинила хакерскую группировку Lazarus (ZINC), которая, предположительно поддерживается правительством Северной Кореи, в проведении серии атак с использованием модифицированного программного обеспечения с открытым исходным кодом, такого как PuTTY, KiTTY, TightVNC, Sumatra PDF Reader и др. Такой подход позволил хакерам скомпрометировать «множество» организаций в оборонной и аэрокосмической промышленности, СМИ, а также в сфере IT.

Источник изображения: Getty Images

Согласно имеющимся данным, злоумышленники интегрируют вредоносный код в открытое ПО, после чего подталкивают жертв к использованию таких модифицированных утилит, что приводит к компрометации систем. Чтобы завоевать доверие жертвы хакеры выдают себя за рекрутеров разных компаний и связываются с сотрудниками целевых организаций через LinkedIn.

После установления доверительных отношений в ходе ряда бесед общение переводится в мессенджер WhatsApp. Через него хакеры распространяют модифицированные утилиты и убеждают сотрудников целевых компаний в необходимости их использования. После запуска такого ПО на целевом компьютере система становится скомпрометированной и в неё загружается другое вредоносное ПО.

«С июня 2022 года злоумышленники сумели скомпрометировать множество организаций. Из-за широкого спектра используемых платформ и программного обеспечения, применяемых ZINC в рамках этой кампании, ZINC может представлять серьёзную угрозу для отдельных лиц и организаций в разных секторах и регионах», — говорится в сообщении Microsoft Security Threat Intelligence и LinkedIn Threat Prevention and Defense.