0-day уязвимость в Windows использовали группировки FruityArmor и SandCat

Рекомендуем почитать:

Xakep #239. Вскрыть и изучить

• Содержание выпуска
• Подписка на «Хакер»

На этой неделе, в рамках «вторника обновлений» разработчики Microsoft исправили сразу две уязвимости нулевого дня, которые уже эксплуатировали хакеры.

Сообщалось, что проблему CVE-2019-0797, связанную с тем, что компонент Win32k некорректно обращается с объектами в памяти, обнаружили эксперты «Лаборатории Касперского». Но кем и при каких обстоятельствах использовался баг было неизвестно.

Теперь «Лаборатория Касперского» опубликовала собственный отчет об этой проблеме. Исследователи подчеркивают, что это уже четвертая 0-day проблема, обнаруженная благодаря специальной технологии, разработанной «Лабораторией Касперского» и встроенной в большинство продуктов компании.

Исследователи подтвердили, что уязвимость допускает локальную эскалацию привилегий, и сообщают, что эксплоиты для этого бага активно применяют группировки FruityArmor и SandCat (и, возможно, другие преступники). Тогда как хак-группа FruityArmor известна специалистам довольно давно и ранее уже использовала в своих кампаниях другие уязвимости нулевого дня, то SandCat – это сравнительно «новый игрок», в арсенале которого, помимо CVE-2019-0797 и CHAINSHOT, был замечен фреймворк FinFisher/FinSpy.

По данным исследователей, злоумышленники ориентировали свои эксплоиты против 64-битных версий ОС, начиная от Windows 8 и заканчивая Windows 10 build 15063.

«Обнаружение этого эксплоита показывает, что такие дорогие и редкие инструменты по-прежнему представляют огромный интерес для кибергруппировок. Организациям нужны решения, которые могут защитить от подобных угроз. Это еще раз подтверждает, насколько важно, чтобы представители индустрии кибербезопасности сотрудничали с разработчиками ПО. Поиск багов, ответственный подход к их раскрытию и быстрая подготовка патчей — лучшие способы оградить пользователей от уже известных и новых угроз», — комментирует Антон Иванов, антивирусный эксперт «Лаборатории Касперского».

Источник