Microsoft แก้ไขช่องโหว่ Zero-Day ที่ถูกนำไปใช้โจมตีโดยกลุ่ม Lazarus ของเกาหลีเหนือ

ช่องโหว่ด้านความปลอดภัยที่เพิ่งได้รับการแก้ไขใน Microsoft Windows ซึ่งกำลังถูกใช้เป็นช่องโหว่ zero-day โดยกลุ่ม Lazarus ซึ่งกลุ่มดังกล่าวได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ

ช่องโหว่ด้านความปลอดภัยนี้มีหมายเลข CVE-2024-38193 (คะแนน CVSS: 7.8) โดยถูกอธิบายว่าเป็นช่องโหว่ในการยกระดับสิทธิ์ใน Windows Ancillary Function Driver (AFD.sys) สำหรับ WinSock

Microsoft ได้ระบุในคำแนะนำเกี่ยวกับช่องโหว่ดังกล่าวเมื่อสัปดาห์ที่แล้วว่า "ผู้โจมตีที่สามารถใช้ประโยชน์จากช่องโหว่นี้ได้สำเร็จ จะสามารถยกระดับสิทธิ์เป็น SYSTEM ได้" ซึ่งทาง Microsoft ได้ทำการแก้ไขช่องโหว่ดังกล่าวแล้วโดยเป็นส่วนหนึ่งของการอัปเดต Patch Tuesday ประจำเดือนสิงหาคม

Luigino Camastra และ Milánek นักวิจัยจาก Gen Digital เป็นผู้ค้นพบ และรายงานช่องโหว่ดังกล่าว โดย Gen Digital เป็นเจ้าของแบรนด์ซอฟต์แวร์ด้านความปลอดภัย และยูทิลิตี้หลายแบรนด์ เช่น Norton, Avast, Avira, AVG, ReputationDefender และ CCleaner

Gen Digital เปิดเผยเมื่อสัปดาห์ที่แล้วว่า "ช่องโหว่ดังกล่าวทำให้แฮ็กเกอร์สามารถเข้าถึงส่วนที่สำคัญของระบบโดยไม่ได้รับอนุญาต" และยังเสริมอีกว่า บริษัทค้นพบการโจมตีโดยใช้ช่องโหว่ดังกล่าวในช่วงต้นเดือนมิถุนายน 2024 "ช่องโหว่ดังกล่าวทำให้ผู้โจมตีสามารถหลีกเลี่ยงการตรวจจับด้านความปลอดภัยแบบปกติทั่วไป และเข้าถึงส่วนที่สำคัญของระบบ ซึ่งผู้ใช้งาน และผู้ดูแลระบบส่วนใหญ่ไม่สามารถเข้าถึงได้"

Gen Digital ยังระบุเพิ่มเติมอีกว่า การโจมตีมีลักษณะเฉพาะคือการใช้ rootkit ที่เรียกว่า FudModule เพื่อพยายามหลีกเลี่ยงการตรวจจับ

แม้ว่ารายละเอียดทางเทคนิคที่เกี่ยวข้องกับการโจมตีในครั้งนี้ยังไม่ทราบแน่ชัด แต่ช่องโหว่นี้มีลักษณะคล้ายคลึงกับช่องโหว่ในการยกระดับสิทธิ์อีกช่องโหว่หนึ่งที่ Microsoft ได้แก้ไขไปแล้วในเดือนกุมภาพันธ์ 2024 และยังถูกกลุ่ม Lazarus นำมาใช้เป็นเครื่องมือเพื่อติดตั้ง FudModule อีกด้วย

โดยเฉพาะอย่างยิ่ง มีการใช้ประโยชน์จากช่องโหว่ CVE-2024-21338 (คะแนน CVSS: 7.8) ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์ของเคอร์เนล Windows ที่มีอยู่ในไดรเวอร์ AppLocker (appid.sys) ซึ่งทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายได้ตามที่ต้องการ โดยสามารถหลีกเลี่ยงการตรวจสอบความปลอดภัยทั้งหมด และเรียกใช้งาน rootkit FudModule ได้

การโจมตีทั้งสองประเภทนี้มีความโดดเด่น เนื่องจากเป็นการโจมตีแบบ Bring Your Own Vulnerable Driver (BYOVD) แบบดั้งเดิม ด้วยการใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยในไดรเวอร์ที่ติดตั้งอยู่บน host Windows อยู่แล้ว แทนที่จะนำไดรเวอร์ที่อาจเสี่ยงต่อการถูกโจมตีมาใช้เพื่อหลีกเลี่ยงมาตรการรักษาความปลอดภัย

การโจมตีก่อนหน้านี้ที่ถูกเปิดเผยโดยบริษัท Avast แสดงให้เห็นว่า rootkit ถูกส่งผ่าน trojan ที่สามารถเข้าถึงได้จากระยะไกลที่รู้จักกันในชื่อ "Kaolin RAT"

บริษัท Avast ระุบว่า "FudModule ถูกผสานรวมเข้ากับระบบมัลแวร์อื่น ๆ ของกลุ่ม Lazarus อย่างหลวม ๆ เท่านั้น และกลุ่ม Lazarus ระมัดระวังเป็นอย่างมากในการใช้ rootkit และจะใช้งานเฉพาะในสถานการณ์ที่เหมาะสมเท่านั้น"

ที่มา : thehackernews