Microsoft ha revelado ayer que una vulnerabilidad de elusión de seguridad de Mark of the Web explotada por atacantes como zero-day para eludir la protección SmartScreen fue parcheada durante el martes de parches de junio de 2024.
SmartScreen es una función de seguridad introducida con Windows 8 que protege a los usuarios contra software potencialmente malicioso al abrir archivos descargados etiquetados con la marca Mark of the Web (MotW).
Aunque la vulnerabilidad (rastreada como CVE-2024-38213) puede ser explotada de forma remota por agentes de amenazas no autenticados en ataques de baja complejidad, requiere la interacción del usuario, lo que dificulta su explotación con éxito.
"Un atacante que explotara con éxito esta vulnerabilidad podría saltarse la experiencia de usuario de SmartScreen. Un atacante debe enviar al usuario un archivo malicioso y convencerle de que lo abra", explica Redmond en un aviso de seguridad publicado el martes.
A pesar de la mayor dificultad para explotarla, el investigador de seguridad de Trend Micro Peter Girnus descubrió que la vulnerabilidad estaba siendo explotada en marzo. Girnus informó de los ataques a Microsoft, que parcheó el fallo durante el martes de parches de junio de 2024. Sin embargo, la empresa olvidó incluir el aviso con las actualizaciones de seguridad de ese mes (o con las de julio).
"En marzo de 2024, el equipo de Caza de Amenazas de la Iniciativa Día Cero de Trend Micro comenzó a analizar muestras relacionadas con la actividad llevada a cabo por los operadores de DarkGate para infectar a los usuarios mediante operaciones de copiar y pegar", declaró hoy a BleepingComputer Dustin Childs, Jefe de Concienciación sobre Amenazas de ZDI.
"Esta campaña de DarkGate era una actualización de una campaña anterior en la que los operadores de DarkGate estaban explotando una vulnerabilidad de día cero, CVE-2024-21412, que revelamos a Microsoft a principios de este año."
Ataques de malware contra Windows SmartScreen
En los ataques de marzo, los operadores del malware DarkGate aprovecharon este desvío de Windows SmartScreen (CVE-2024-21412) para desplegar cargas útiles maliciosas camufladas como instaladores de Apple iTunes, Notion, NVIDIA y otros programas legítimos.
Mientras investigaban la campaña de marzo, los investigadores de Trend Micro también analizaron el abuso de SmartScreen en los ataques y cómo se gestionaban los archivos de recursos compartidos WebDAV durante las operaciones de copiar y pegar.
"Como resultado, descubrimos y notificamos a Microsoft el CVE-2024-38213, que fue parcheado en junio. Este exploit, que hemos denominado copy2pwn, permite copiar localmente un archivo de WebDAV sin las protecciones Mark-of-the-Web", añade Childs.
CVE-2024-21412 era a su vez un bypass de otra vulnerabilidad de Defender SmartScreen rastreada como CVE-2023-36025, explotada como zero-day para desplegar el malware Phemedrone y parcheada durante el martes de parches de noviembre de 2023.
Desde principios de año, el grupo de piratas informáticos Water Hydra (también conocido como DarkCasino) también ha explotado CVE-2024-21412 para atacar canales de Telegram de compraventa de acciones y foros de compraventa de divisas con el troyano de acceso remoto (RAT) DarkMe en Nochevieja.
Childs también dijo a BleepingComputer en abril que la misma banda de ciberdelincuentes explotó CVE-2024-29988 (otro fallo de SmartScreen y un bypass de CVE-2024-21412) en ataques de malware en febrero.
Además, como descubrió Elastic Security Labs, un defecto de diseño en Windows Smart App Control y SmartScreen que permite a los atacantes lanzar programas sin activar advertencias de seguridad también ha sido explotado en ataques desde al menos 2018. Elastic Security Labs informó de estos hallazgos a Microsoft y se le dijo que este problema "podría solucionarse" en una futura actualización de Windows.
Fuente: bleepingcomputer