Questa nuova vulnerabilità interessa il modulo “kernel mode” del sistema operativo
Le tecnologie di Kaspersky Lab hanno rilevato automaticamente un nuovo exploit che sfrutta una vulnerabilità zero-day nel kernel del sistema operativo Microsoft Windows: si tratta del terzo exploit consecutivo scoperto in soli tre mesi. L’ultima vulnerabilità sfruttata (CVE-2018-8611) era legata ad un malware che aveva preso di mira un piccolo gruppo di organizzazioni in Medio Oriente e in Asia. Questa nuova vulnerabilità interessa, invece, il modulo “kernel mode” del sistema operativo; l’exploit è quindi particolarmente pericoloso e può essere utilizzato per bypassare i meccanismi di mitigazione degli exploit integrati nei web browser moderni, compresi Chrome e Edge. La vulnerabilità è stata segnalata a Microsoft che ha già rilasciato una patch.
Le vulnerabilità zero-day sono bug presenti nei software, sconosciuti e pertanto privi di patch, che vengono sfruttati dai cyberciminali per accedere ai dispositivi e ai sistemi delle vittime. Hanno un grande valore per gli autori delle minacce e sono difficili da rilevare.
Tutte e tre gli exploit relativi a Microsoft Windows sono stati rilevati dalla tecnologia Automatic Exploit Prevention di Kaspersky Lab, integrata nella maggior parte dei prodotti dell’azienda. Come le due precedenti vulnerabilità (CVE-2018-8589 e CVE-2018-8453) risolte da Microsoft rispettivamente nei mesi di ottobre e a novembre, anche l’ultimo exploit è stata utilizzato “in-the-wild” per prendere di mira un gruppo di vittime localizzate in Medio Oriente e in Africa. Gli autori del malware avevano adottato il nome “Alice” per riferirsi all’exploit sfruttato per la vulnerabilità CVE-2018-8589; per quest’ultimo exploit, invece, hanno scelto “Jasmine”. I ricercatori di Kaspersky Lab credono che questa nuova vulnerabilità sia stata sfruttata da più di un soggetto, compreso un nuovo gruppo APT (Advanced Persistent Threat), chiamato Sandcat.
“La rilevazione di tre vulnerabilità zero-day a livello del kernel nel giro di pochi mesi è la prova che i nostri prodotti dispongono delle migliori tecnologie, in grado di monitorare anche queste minacce particolarmente sofisticate. È importante che le organizzazioni capiscano che la protezione dei loro perimetri dovrebbe essere affidata a soluzioni di tipo combinato, che possano offrire, ad esempio, una protezione a livello endpoint e una piattaforma avanzata di threat detection”, ha commentato Anton Ivanov, Security Expert di Kaspersky Lab.
Kaspersky Lab consiglia di implementare le seguenti misure di sicurezza:
- Procedere con l’installazione della patch rilasciata da Microsoft per far fronte alla nuova vulnerabilità.
- Assicurarsi di procedere regolarmente con l’aggiornamento di tutti i software utilizzati in azienda e ogni volta che una nuova patch viene rilasciata. Le soluzioni di sicurezza con funzionalità di Vulnerability Assessment e di Patch Management possono aiutare a rendere automatici questi processi.
- Scegliere una soluzione di sicurezza affidabile come Kaspersky Endpoint Security: è dotata di funzionalità di detection “behavior-based” per una protezione efficace contro minacce conosciute e sconosciute, compresi gli exploit.
- Usare tool di sicurezza avanzati come Kaspersky Anti Targeted Attack Platform (KATA), qualora l’azienda abbia bisogno di un sistema di protezione altamente sofisticato.
- Assicurarsi che il proprio team di sicurezza IT abbia accesso alle risorse di intelligence sulle cyberminacce più aggiornate. Report privati riguardo gli ultimi sviluppi dello scenario delle minacce sono disponibili per gli iscritti al Kaspersky Intelligence Reporting. Per ricevere ulteriori informazioni, è possibile scrivere all’indirizzo intelreports@kaspersky.com.
- Ultima cosa, ma non meno importante: assicurarsi che il proprio staff sia adeguatamente formato per quanto riguarda le conoscenze di base della cybersecurity hygiene.
