Zero day di Windows utilizzato dal ransomware Nokoyawa

Apr 13, 2023 Dario Orlandi Apt, Attacchi, Minacce, Minacce, News, Ransomware, RSS, Vulnerabilità 0

Un gruppo di criminali informatici ha utilizzato una vulnerabilità zero-day nel Common Log File System (CLFS) di Microsoft per distribuire il ransomware Nokoyawa a diverse piccole e medie imprese in Medio Oriente, Nord America e Asia.

I ricercatori di Kaspersky hanno scoperto la vulnerabilità a febbraio e hanno trovato che il gruppo aveva sviluppato diversi exploit unici, utilizzandoli in attacchi in diversi settori tra cui vendita al dettaglio, energia, produzione, sanità e sviluppo di software.

Kaspersky ha individuato per la prima volta la vulnerabilità in un attacco in cui i criminali informatici hanno tentato di distribuire una nuova variante del ransomware Nokoyawa.

La richiesta di riscatto del ransomware (Fonte: Kaspersky)

Exploit dedicati

L’exploit utilizzato era compatibile con diverse versioni e build di Windows e ha permesso di rubare le credenziali dal database SAM, grazie all’escalation dei privilegi consentita dalla vulnerabilità. Le vecchie versioni di Nokoyawa erano solo ri-brandizzazioni di JSWorm, ma questa nuova variante presentava differenze significative nella codifica.

La vulnerabilità, che Microsoft ha identificato con il codice CVE-2023-28252, consente agli attaccanti di aumentare i loro privilegi modificando il formato dei file utilizzati dal sottosistema CLFS, e colpisce diverse versioni e build del sistema operativo Windows, incluso Windows 11. Microsoft ha corretto la vulnerabilità come parte degli aggiornamenti patch Tuesday della scorsa settimana.

Zero day per il ransomware

Mentre la maggior parte delle vulnerabilità scoperte da Kaspersky sono normalmente utilizzate da minacce persistenti avanzate (APT), in questo caso è stata sfruttata da un gruppo specializzato in ransomware. L’uso di exploit unici per il CLFS da parte del gruppo lo distingue da altri criminali informatici.

La scoperta di questa vulnerabilità evidenzia la minaccia continua rappresentata dai criminali informatici che sfruttano le vulnerabilità zero-day per lanciare attacchi contro le imprese e gli individui. Sottolinea anche l’importanza della tempestiva applicazione delle patch e degli aggiornamenti software per mitigare i rischi associati a queste vulnerabilità.

Boris Larin, Lead Security Researcher di Kaspersky

Boris Larin, Lead Security Researcher di Kaspersky, ha commentato: “I gruppi di criminali informatici stanno diventando sempre più sofisticati nell’utilizzare gli exploit zero-day nei loro attacchi. In precedenza si trattava principalmente di uno strumento utilizzato dagli APT, ma ora i criminali informatici hanno le risorse per acquisire gli zero-day e utilizzarli abitualmente negli attacchi”.

“Ci sono anche sviluppatori di exploit disposti ad aiutarli e a sviluppare exploit su exploit. È molto importante che le aziende scarichino l’ultima patch Microsoft il prima possibile e utilizzino altri metodi di protezione, come le soluzioni EDR”, ha concluso Larin.

Condividi l'articolo