Une faille de s\u00e9curit\u00e9 r\u00e9cemment corrig\u00e9e dans Microsoft Windows a \u00e9t\u00e9 exploit\u00e9e comme une faille zero-day par Lazarus Group, un acteur prolifique parrain\u00e9 par l’\u00c9tat et affili\u00e9 \u00e0 la Cor\u00e9e du Nord.<\/p>\n
La vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9, suivie comme CVE-2024-38193<\/strong> (Score CVSS\u00a0: 7,8), a \u00e9t\u00e9 d\u00e9crit comme un bogue d’escalade de privil\u00e8ges dans le pilote de fonction auxiliaire Windows (AFD.sys) pour WinSock.<\/p>\n \u00ab Un attaquant qui exploiterait avec succ\u00e8s cette vuln\u00e9rabilit\u00e9 pourrait obtenir des privil\u00e8ges SYSTEM \u00bb, a d\u00e9clar\u00e9 Microsoft dit<\/a> dans un avis concernant cette faille publi\u00e9 la semaine derni\u00e8re. Le g\u00e9ant de la technologie a corrig\u00e9 cette faille dans le cadre de sa mise \u00e0 jour mensuelle Patch Tuesday.<\/p>\n Les chercheurs de Gen Digital, Luigino Camastra et Mil\u00e1nek, sont ceux qui ont d\u00e9couvert et signal\u00e9 la faille. Gen Digital poss\u00e8de plusieurs marques de logiciels de s\u00e9curit\u00e9 et utilitaires comme Norton, Avast, Avira, AVG, ReputationDefender et CCleaner.<\/p>\n \u00ab Cette faille leur a permis d’obtenir un acc\u00e8s non autoris\u00e9 \u00e0 des zones sensibles du syst\u00e8me \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. divulgu\u00e9<\/a> la semaine derni\u00e8re, ajoutant avoir d\u00e9couvert l’exploitation d\u00e9but juin 2024. \u00ab La vuln\u00e9rabilit\u00e9 a permis aux attaquants de contourner les restrictions de s\u00e9curit\u00e9 normales et d’acc\u00e9der \u00e0 des zones sensibles du syst\u00e8me que la plupart des utilisateurs et des administrateurs ne peuvent pas atteindre. \u00bb<\/p>\n Le fournisseur de cybers\u00e9curit\u00e9 a \u00e9galement not\u00e9 que les attaques \u00e9taient caract\u00e9ris\u00e9es par l\u2019utilisation d\u2019un rootkit appel\u00e9 FudModule pour tenter d\u2019\u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n Bien que les d\u00e9tails techniques exacts associ\u00e9s aux intrusions soient actuellement inconnus, la vuln\u00e9rabilit\u00e9 rappelle une autre escalade de privil\u00e8ges que Microsoft a corrig\u00e9e en f\u00e9vrier 2024 et qui a \u00e9galement \u00e9t\u00e9 utilis\u00e9e par le groupe Lazarus pour abandonner FudModule.<\/p>\n Plus pr\u00e9cis\u00e9ment, il s’agissait de l’exploitation de CVE-2024-21338 (score CVSS : 7,8), une faille d’escalade des privil\u00e8ges du noyau Windows ancr\u00e9e dans le pilote AppLocker (appid.sys) qui permet d’ex\u00e9cuter du code arbitraire de mani\u00e8re \u00e0 contourner tous les contr\u00f4les de s\u00e9curit\u00e9 et \u00e0 ex\u00e9cuter le rootkit FudModule.<\/p>\n Ces deux attaques sont remarquables car elles vont au-del\u00e0 d’une attaque BYOVD (Bring Your Own Vulnerable Driver) traditionnelle en tirant parti d’une faille de s\u00e9curit\u00e9 dans un pilote d\u00e9j\u00e0 install\u00e9 sur un h\u00f4te Windows au lieu d’\u00ab apporter \u00bb un pilote vuln\u00e9rable et de l’utiliser pour contourner les mesures de s\u00e9curit\u00e9.<\/p>\n Les attaques pr\u00e9c\u00e9dentes d\u00e9taill\u00e9es par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Avast ont r\u00e9v\u00e9l\u00e9 que le rootkit est diffus\u00e9 au moyen d’un cheval de Troie d’acc\u00e8s \u00e0 distance connu sous le nom de Kaolin RAT.<\/p>\n \u00ab FudModule n’est que vaguement int\u00e9gr\u00e9 au reste de l’\u00e9cosyst\u00e8me des malwares de Lazarus \u00bb, avait d\u00e9clar\u00e9 la soci\u00e9t\u00e9 tch\u00e8que \u00e0 l’\u00e9poque, pr\u00e9cisant que \u00ab Lazarus est tr\u00e8s prudent dans l’utilisation du rootkit, ne le d\u00e9ployant qu’\u00e0 la demande dans les bonnes circonstances. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Microsoft-corrige-une-faille-zero-day-exploitee-par-le-groupe-nord-coreen.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n