Support technique
Documentation
Connexion
Nous contacter
TuxCare BlogLe groupe de pirates Lazarus exploite activement la faille du noyau Windows
par Wajahat Raja
Le 11 mars 2024 - L'équipe d'experts de TuxCare
Le monde de la cybersécurité est en ébullition depuis la révélation de l'exploitation par le l'exploitation par le Lazarus Group d'une vulnérabilité dans le noyau de Windows. La faille du faille du noyau de WindowsCVE-2024-21338, a suscité des inquiétudes en raison de la possibilité qu'elle offre aux attaquants d'accéder au niveau du noyau et de désactiver les logiciels de sécurité, ce qui constitue une menace importante pour l'intégrité du système.
Origine et évolution des failles de sécurité de Windows
La vulnérabilité remonte à la version 1703 (RS2/15063) de Windows 10, qui découle de l'implémentation du gestionnaire IOCTL 0x22A018. Sa découverte et son exploitation mettent en évidence les difficultés persistantes auxquelles sont confrontés les développeurs de logiciels pour se prémunir contre l'évolution des menaces de cybersécurité en constante évolution.
L'éditeur de solutions de cybersécurité Avast a découvert un exploit "admin-to-kernel" pour CVE-2024-21338. Lazarus Group. Cet exploit a permis au groupe d'obtenir une primitive de lecture/écriture du noyau, facilitant la manipulation directe des objets du noyau et le déploiement du rootkit FudModule.
Les pirates Lazarus se sont appuyés sur la CVE-2024-21338 pour exploiter appid.sys, un pilote crucial associé à Windows AppLocker. En contournant les contrôles de sécurité, le groupe exécute du code arbitraire, échappant ainsi aux mécanismes de détection et exécutant le rootkit FudModule en toute impunité.
Faille du noyau de Windows : escalade des privilèges
Le Lazarus Group, réputé pour ses opérations cybernétiques sophistiquées, s'est emparé d'une faille d'escalade de privilèges récemment corrigée dans le noyau de Windows pour en faire un exploit de type "zero-day. Cette faille, CVE-2024-21338, a un score CVSS de 7,8, ce qui indique sa gravité et son impact potentiel sur les systèmes affectés.
Cette vulnérabilité, désormais tristement célèbre dans les milieux de la cybersécuritépermet aux attaquants d'obtenir les privilèges SYSTEM en exploitant une vulnérabilité dans le noyau de Windows. Microsoft a remédié à cette vulnérabilité dans ses récentes mises à jour de sécurité WindowsMicrosoft a corrigé cette vulnérabilité dans ses récentes mises à jour de sécurité Windows, soulignant l'urgence d'appliquer rapidement les correctifs pour limiter les risques.
Pour exploiter CVE-2024-21338, un attaquant doit d'abord accéder au système ciblé. Ensuite, il peut exécuter une application spécialement conçue pour exploiter la vulnérabilité, ouvrant ainsi la voie à un accès et un contrôle non autorisés du système compromis.
Accès au niveau du noyau et évaluation renforcée des risques
Lorsqu'elle est exploitée, la faille faille du noyau Windows accorde aux attaquants un accès au niveau du noyau, un privilège convoité qui leur permet de manipuler les ressources du système et d'exécuter un code arbitraire. Cet accès élevé facilite la désactivation des logiciels de sécurité, ce qui aggrave les menaces pour les utilisateurs concernés.
Initialement classée comme n'étant pas activement exploitée, Microsoft a révisé son évaluation de CVE-2024-21338 pour la faire passer à "Exploitation détectée". ce qui indique un changement dans le paysage des menaces. Cette évaluation des risques accrus souligne l'urgence de remédier aux vulnérabilités en matière de vulnérabilités en matière de cybersécurité afin d'anticiper les attaques potentielles.
Attaques du groupe Lazarus, techniques d'évasion et logiciels ciblés
Outre la désactivation des enregistreurs de système, le rootkit FudModule est capable de contourner des logiciels de sécurité spécifiques, notamment AhnLab V3 Endpoint Security, CrowdStrike Falcon, HitmanPro et Microsoft Defender Antivirus. Ces tactiques d'évasion renforcent la furtivité et la persistance du logiciel malveillant.
Le groupe Lazarus APT groupLes exploits du groupe Lazarus illustrent la sophistication technique et l'orientation multiplateforme des groupes de pirates nord-coréens. Ces adversaires perfectionnent en permanence leur arsenal, en s'appuyant sur des techniques avancées pour échapper à la détection et mener des opérations de cyberespionnage à l'échelle mondiale.
Des avis récents des services de renseignement ont souligné la menace persistante que représentent Lazarus et d'autres acteurs similaires de la menace persistante avancée (APT). Leurs tactiques, qui vont du ciblage des secteurs de la défense à l'infiltration des systèmes judiciaires, mettent en évidence l'ampleur et la polyvalence de leurs opérations.
Vigilance accrue et stratégies d'atténuation
À la lumière de cette nouvelles sur la cybersécuritéles organisations et les particuliers sont invités à rester vigilants et à mettre en œuvre de solides stratégies d'atténuation. Appliquer en temps utile correctifs de sécurité Windowsla veille proactive sur les menaces et la formation de sensibilisation des utilisateurs sont des éléments essentiels d'un dispositif de cybersécurité complet.
Conclusion
L'exploitation de CVE-2024-21338 par le Lazarus Group souligne la nature évolutive des cybermenaces et l'importance des mesures de cybersécurité proactives. Les adversaires continuant à innover et à s'adapter, il est impératif que les parties prenantes collaborent, échangent des informations et renforcent leurs défenses afin de se prémunir contre les menaces émergentes telles que les cyberattaques du Lazarus Group. les cyberattaques du Lazarus Group. Ce n'est qu'au prix d'un effort collectif et d'une vigilance sans faille que nous pourrons atténuer les risques posés par des cyberadversaires sophistiqués.
Les sources de cet article comprennent des articles dans The Hacker News et The Record.
