Microsoft menambal kerentanan eskalasi hak istimewa yang sangat serius di kernel Windows pada bulan Februari, enam bulan setelah diberitahu bahwa kelemahan tersebut dieksploitasi sebagai zero-day.
Kelemahan keamanan, yang terdaftar sebagai CVE-2024-21338, ditemukan oleh peneliti malware senior Avast Jan Vojtěšek di driver appid.sys Windows AppLocker dan dilaporkan ke Microsoft sebagai zero-day yang aktif digunakan pada Agustus lalu.
Kerentanan ini memengaruhi sistem yang menjalankan beberapa versi Windows 10 dan Windows 11 (termasuk versi terbaru), serta Windows Server 2019 dan 2022.
Microsoft menjelaskan bahwa eksploitasi yang berhasil memungkinkan penyerang lokal mendapatkan hak istimewa SISTEM dalam serangan dengan tingkat kecanggihan rendah yang tidak memerlukan interaksi pengguna.
“Untuk mengeksploitasi kerentanan ini, penyerang pertama-tama harus masuk ke sistem. Penyerang kemudian dapat menjalankan aplikasi yang dibuat khusus yang dapat mengeksploitasi kerentanan dan mengambil kendali sistem yang terpengaruh,” kata Redmond.
Perusahaan menambal kerentanan pada 13 Februari dan memperbarui peringatan pada Rabu, 28 Februari untuk mengonfirmasi bahwa CVE-2024-21338 telah dieksploitasi secara liar, namun tidak merilis rincian apa pun mengenai serangan tersebut.
Diperbaiki enam bulan kemudian pesan perkenalan
Namun, Avast mengatakan kepada BleepingComputer bahwa setidaknya sejak Agustus 2023, peretas dari Negara Bagian Lazarus di Korea Utara telah mengeksploitasi kelemahan dalam serangan zero-day untuk mendapatkan akses tingkat kernel dan menonaktifkan alat keamanan, sehingga mereka dapat menghindari penggunaan teknik BYOVD yang lebih mudah dideteksi. (Bawalah Pengemudi Anda yang Rentan).
“Dari sudut pandang penyerang, transisi dari administrator ke kernel membuka kemungkinan baru. Dengan akses tingkat kernel, penyerang dapat menyusupi perangkat lunak keamanan, menyembunyikan indikator infeksi (termasuk file, aktivitas jaringan, proses, dll.), nonaktifkan telemetri mode kernel, nonaktifkan mitigasi, dan selanjutnya,” jelas Avast.
“Selain itu, karena keamanan Protected Process Light (PPL) bergantung pada batas administrator-kernel, penyerang hipotetis kami juga memperoleh kemampuan untuk memanipulasi proses yang dilindungi atau menambahkan perlindungan pada proses apa pun. Ini akan sangat berguna jika lsass dilindungi oleh RunAsPPL, karena melewati PPL dapat memungkinkan penyerang untuk mencantumkan kredensial yang tidak tersedia.”
Lazarus mengeksploitasi kelemahan ini untuk membuat primitif baca/tulis kernel, yang memungkinkan versi terbaru dari rootkit FudModule untuk memanipulasi objek kernel secara langsung.
FudModule versi baru ini hadir dengan peningkatan siluman dan fungsionalitas yang signifikan, termasuk teknik rootkit baru dan diperbarui untuk menghindari deteksi dan menonaktifkan perlindungan keamanan AhnLab V3 Endpoint, Windows Defender, CrowdStrike Falcon, dan HitmanPro.
Menganalisis serangan tersebut, Avast juga menemukan malware trojan akses jarak jauh (RAT) yang sebelumnya tidak diketahui yang digunakan oleh Lazarus, yang akan menjadi fokus presentasi BlackHat Asia pada bulan April.
“Dengan zero-day admin-ke-kernel yang kini telah terbakar, Lazarus dihadapkan pada tantangan yang signifikan. Mereka dapat menemukan eksploitasi zero-day baru atau kembali ke teknik BYOVD lama mereka,” kata Avast.
Pengguna Windows disarankan untuk menginstal pembaruan Patch Tuesday Februari 2024 sesegera mungkin untuk memblokir serangan Lazarus CVE-2024-21338.
+ There are no comments
Add yours