Microsoft ha parcheado hoy un zero-day de Windows Defender SmartScreen explotado en la naturaleza por un grupo de amenazas con motivaciones financieras para desplegar el troyano de acceso remoto (RAT) DarkMe.
El grupo de hackers (rastreado como Water Hydra y DarkCasino) fue detectado por investigadores de seguridad de Trend Micro utilizando el zero-day (CVE-2024-21412) en ataques realizados el día de Nochevieja.
"Un atacante no autentificado podría enviar al usuario objetivo un archivo especialmente diseñado para eludir las comprobaciones de seguridad mostradas", afirma Microsoft en un aviso de seguridad publicado hoy.
"Sin embargo, el atacante no tendría forma de forzar a un usuario a ver el contenido controlado por el atacante. En su lugar, el atacante tendría que convencerles de que actuaran haciendo clic en el enlace del archivo".
El investigador de seguridad de Trend Micro Peter Girnus, a quien se atribuye la notificación de este zero-day, reveló que el fallo CVE-2024-21412 elude otra vulnerabilidad de Defender SmartScreen (CVE-2023-36025).
CVE-2023-36025 se parcheó durante el martes de parches de noviembre de 2023 y, como reveló Trend Micro el mes pasado, también se aprovechó para eludir los avisos de seguridad de Windows al abrir archivos URL para desplegar el malware ladrón de información Phemedrone.
Zero-day utilizado para atacar a operadores del mercado financiero
El zero-day que Microsoft ha parcheado hoy se utilizó en ataques dirigidos a "operadores de divisas que participan en el mercado de divisas de alto riesgo", con el objetivo final probable de robo de datos o despliegue de ransomware en una etapa posterior.
"A finales de diciembre de 2023, comenzamos a rastrear una campaña del grupo Water Hydra que contenía herramientas, tácticas y procedimientos (TTP) similares que implicaban el uso indebido de accesos directos de Internet (.URL) y componentes WebDAV (Web-based Distributed Authoring and Versioning)", explicó Trend Micro.
"Llegamos a la conclusión de que llamar a un acceso directo dentro de otro acceso directo era suficiente para evadir SmartScreen, que no aplicaba correctamente Mark-of-the-Web (MotW), un componente crítico de Windows que alerta a los usuarios cuando abren o ejecutan archivos de una fuente no fiable."
Water Hydra aprovechó la vulnerabilidad CVE-2024-21412 para atacar foros de compraventa de divisas y canales de Telegram de compraventa de valores en ataques de spearphishing, enviando un gráfico de valores malicioso que enlazaba con un sitio web de información comercial comprometido de Rusia (fxbulls[.]ru) que se hacía pasar por una plataforma de correduría de divisas (fxbulls[.]com).
El objetivo de los atacantes era engañar a los operadores para que instalaran el malware DarkMe mediante ingeniería social.
Entre las tácticas que utilizaron se incluyen la publicación de mensajes en inglés y ruso en los que se pedía u ofrecía orientación para operar y la difusión de herramientas financieras y bursátiles falsificadas relacionadas con herramientas de análisis técnico de gráficos e indicadores gráficos.
Los hackers de Water Hydra han explotado otras vulnerabilidades zero-day en el pasado. Por ejemplo, utilizaron una vulnerabilidad de alta gravedad (CVE-2023-38831) en el software WinRAR utilizado por más de 500 millones de usuarios para comprometer cuentas comerciales varios meses antes de que estuviera disponible un parche.
Otros proveedores vincularon posteriormente la explotación de CVE-2023-38831 a múltiples grupos de hackers respaldados por gobiernos, entre ellos los grupos de amenazas Sandworm, APT28, APT40, DarkPink (NSFOCUS) y Konni (Knownsec) de Rusia, China y Corea del Norte.
Hoy, Microsoft ha parcheado un segundo zero-day de Windows SmartScreen (CVE-2024-21351) explotado en la naturaleza que podría permitir a los atacantes inyectar código en SmartScreen y obtener la ejecución de código.
Fuente: bleepingcomputer