Krytyczna luka w zabezpieczeniach systemu Windows
Backdoory stanowią niezwykle niebezpieczny rodzaj szkodliwego oprogramowania, ponieważ pozwalają ugrupowaniom cyberprzestępczym dyskretnie kontrolować zainfekowane maszyny, aby osiągnąć własne cele. Taki wzrost przywilejów „osoby z zewnątrz" jest zwykle trudny do ukrycia przed rozwiązaniami zabezpieczającymi. Jednak backdoor, który wykorzystuje nieznany wcześniej błąd w systemie - lukę dnia zerowego - ma znacznie większe szanse pozostać niezauważony. Proste rozwiązania zabezpieczające nie potrafią rozpoznać takiej infekcji systemu ani chronić użytkowników przed zagrożeniem, które nie zostało jeszcze zidentyfikowane.
Mimo to technologia zabezpieczająca przed exploitami, wbudowana w produkty Kaspersky Lab, zdołała wykryć próbę wykorzystania nieznanej luki w zabezpieczeniach systemu Microsoft Windows. Scenariusz ataku wyglądał następująco: po uruchomieniu szkodliwego pliku .exe zainicjowana została instalacja szkodliwego oprogramowania. Podczas infekcji wykorzystano lukę dnia zerowego i zdobyto przywileje umożliwiające długotrwałą obecność w maszynie ofiary. Następnie szkodliwe oprogramowanie zainicjowało uruchomienie backdoora opracowanego z wykorzystaniem legalnego elementu występującego we wszystkich wersjach systemu Windows - Windows PowerShell. Dzięki temu cyberprzestępcy mogli uniknąć wykrycia, zyskując czas na tworzenie kodu szkodliwych narzędzi. Następnie szkodnik pobierał innego backdoora, co z kolei zapewniało cyberprzestępcom pełną kontrolę nad zainfekowanym systemem.
W ataku tym zaobserwowaliśmy dwa główne trendy, często spotykane w przypadku zaawansowanych długotrwałych zagrożeń (APT). Po pierwsze, wykorzystanie eskalacji przywilejów lokalnych w celu długotrwałego przetrwania w maszynie ofiary. Po drugie, wykorzystanie legalnych struktur, takich jak Windows PowerShell, w celu prowadzenia szkodliwej aktywności na maszynie ofiary. Takie połączenie umożliwia cyberprzestępcom obejście standardowych rozwiązań zabezpieczających. Aby móc wykryć takie techniki, system bezpieczeństwa musi być wyposażony w silnik ochrony przed exploitami oraz wykrywanie oparte na zachowaniu procesów w systemie ¬- wyjaśnia Anton Iwanow, ekspert ds. cyberbezpieczeństwa, Kaspersky Lab.
Produkty Kaspersky Lab wykryły nowego exploita pod następującymi nazwami:
- HEUR:Exploit.Win32.Generic,
- HEUR:Trojan.Win32.Generic,
- PDM:Exploit.Win32.Generic.
Omawiana luka została zgłoszona firmie Microsoft, która załatała ją 10 kwietnia 2019 r.
