في فبراير ، اكتشف خبراء من مركز الأبحاث الروسي كاسبيرسكي ما يسمى بهجوم “يوم الصفر” الذي يستهدف نظام ملفات السجل المشترك لمايكروسوفت. استغلت مجموعة من مجرمي الإنترنت ثغرة أمنية تم تطويرها لإصدارات وبنيات مختلفة من نظام التشغيل Windows ، بما في ذلك Windows 11 ، وحاولوا نشر Nokoyawa ransomware.
رداً على ذلك ، قامت Microsoft بتخصيص حزمة (CVE-2023-28252) لهذه الثغرة الأمنية ، وتمكنت من تصحيحها ضمن “حزمة / تحديث”.
حاول ممثل التهديد أيضًا تنفيذ ترويج مماثل لاستغلال الامتيازات في الهجمات على مختلف الشركات الصغيرة والمتوسطة الحجم في الشرق الأوسط وأمريكا الشمالية والمناطق الآسيوية في الأوقات السابقة.
على الرغم من أن معظم الثغرات الأمنية التي تم اكتشافها بواسطة Kaspersky تستخدم التهديدات المستمرة المتقدمة (APTs) ، فقد تم اكتشاف هذه الثغرات الأمنية ليتم استغلالها لأغراض جرائم الإنترنت من قبل مجموعة هجوم فدية معقدة.
تتميز هذه المجموعة عن أقرانها باستخدام برمجيات إكسبلويت مماثلة ، ولكنها فريدة من نوعها لاستخدامها لنقاط الضعف الشائعة في نظام ملفات السجل. رصدت Kaspersky ما لا يقل عن خمس حالات استغلال مختلفة من هذا النوع ، حيث تم استخدامها في هجمات استهدفت شركات البيع بالتجزئة والجملة ، وشركات أخرى تعمل في مجالات الطاقة والتصنيع والرعاية الصحية وتطوير البرمجيات وقطاعات أخرى.
قامت Microsoft بتعيين حزمة (CVE-2023-28252) لمعالجة ثغرة “الهجوم الفوري” المكتشفة ، من خلال ترقية نظام ملفات السجل المشترك ، والتغلب على الثغرات الأمنية التي يتم استغلالها من خلال العبث بتنسيق الملف المستخدم في النظام الفرعي. اكتشف باحثو كاسبرسكي هذه الثغرة الأمنية في فبراير الماضي ، بناءً على فحوصات إضافية أجريت على عدد من المحاولات لتنفيذ عمليات استغلال مماثلة على خوادم Microsoft Windows التي تستخدمها الشركات الصغيرة والمتوسطة في الشرق الأوسط وأمريكا الشمالية.
تمكنت Kaspersky من اكتشاف الثغرة الأمنية (CVE-2023-28252) لأول مرة في هجوم حاول فيه المجرمون نشر إصدار أحدث من برنامج الفدية “Nokoyawa”. كانت النسخة السابقة من هذا البرنامج عبارة عن نسخة من JS Worm ، باسم جديد ، وفي الهجوم السابق كانت نسخة من Nokoyawa ، لكنها كانت مختلفة تمامًا عن JS Worm من حيث النص الكامل. لشفرة المصدر.
تم تطوير الثغرة الأمنية المستخدمة في الهجوم لدعم إصدارات وبنيات مختلفة من نظام التشغيل Windows ، بما في ذلك Windows 11.
استخدم المهاجمون نفس الثغرة الأمنية لترقية الامتيازات وسرقة بيانات الاعتماد من قاعدة بيانات Security Account Manager (SAM) ، وهو ملف قاعدة البيانات في نظام التشغيل Microsoft Windows الذي يحتوي على أسماء المستخدمين وكلمات المرور.
