«Лаборатория Касперского» обнаружила ранее неизвестную уязвимость в операционной системе Microsoft Windows. С помощью этого программного бага злоумышленники пытаются заполучить контроль над заражёнными устройствами. Их цель – ядро системы, и для её достижения они используют бэкдор, написанный на легитимном компоненте Windows PowerShell.
Бэкдоры – крайне опасный тип вредоносного ПО, который позволяет атакующим скрытно осуществлять удалённое управление устройством. При этом если бэкдор использует ранее неизвестную уязвимость (так называемую уязвимость нулевого дня), у него значительно больше шансов обойти стандартные механизмы защиты.
Тем не менее технология автоматической защиты от эксплойтов в решениях «Лаборатории Касперского» распознала новую угрозу. Как выяснили эксперты компании, сценарий атаки сводится к следующему: вначале на устройстве запускается файл .exe, а затем он устанавливает вредоносное ПО, которое в свою очередь подгружает тот самый бэкдор, написанный на PowerShell. Поскольку заражение происходит с использованием уязвимости нулевого дня, а зловред задействует легальные инструменты, атакующие потенциально имеют все шансы прочно закрепиться в заражённой системе и незаметно её контролировать.
«В этой истории мы видим два основных тренда, характерных для сложных атак АРТ-класса – так называемых Advanced Persistent Threats. Во-первых, это применение эксплойтов для повышения привилегий на локальной машине с целью успешного закрепления в системе. А во-вторых, это использование легитимных инструментов – в данном случае PowerShell – во вредоносных целях. Такой подход даёт злоумышленникам возможность обходить стандартные механизмы защиты. Для того чтобы успешно справляться с подобными угрозами, защитные решения должны обладать технологиями поведенческого анализа и автоматической блокировки эксплойтов», – рассказывает Антон Иванов, руководитель отдела исследования и детектирования сложных угроз «Лаборатории Касперского».
Продукты «Лаборатории Касперского» распознают эксплойт как HEUR:Exploit.Win32.Generic, HEUR:Trojan.Win32.Generic или PDM:Exploit.Win32.Generic. Подробнее об угрозе можно узнать здесь: https://securelist.com/new-win32k-zero-day-cve-2019-0859/90435/.
