SharePoint الحرجة، والعيوب المرتبطة بـ Qakbot تركز على مايو باتش الثلاثاء

ربط الكائنات وتضمينها

عيبا يوم الصفر هذا الشهر هما CVE-2024-30040وميزة أمان لتجاوز الثغرة الأمنية في Windows MSHTML Platform و CVE-2024-30051، ارتفاع ثغرة الامتياز (EoP) في مكتبة Windows DWM الأساسية.

في أولها، كشفت Microsoft كيف أنها تسمح بشكل أساسي لممثل ضار بتجاوز حماية ربط الكائنات وتضمينها (OLE) في Microsoft 365 وMicrosoft Office عن طريق جعل المستخدم يقوم بتحميل ملف ملوث على نظام ضعيف عبر بريد إلكتروني تصيدي أو رسالة فورية. وإقناعهم بالتلاعب به، ولكن ليس بالضرورة النقر عليه أو فتحه. وهذا من شأنه أن يمنح المهاجم غير المصادق القدرة على تنفيذ تعليمات برمجية عشوائية تظهر على أنها الضحية.

الدجالون لققبوت

وفيما يتعلق بثغرة Windows DWM Core Library، قالت Microsoft إنها ستمكن المهاجم من الحصول على امتيازات على مستوى النظام على نظام الضحية، لكنها قدمت القليل من السياق أو التفاصيل الإضافية. من المعروف أنها تنبع من تجاوز سعة المخزن المؤقت القائم على الكومة، مما يجعلها خطيرة للغاية، كما يمكن استغلالها من قبل مستخدم محلي يتمتع بامتيازات منخفضة نسبيًا.

من بين يومي الصفر، كان CVE-2024-30051 هو الذي أثار اهتمامًا كبيرًا بين خبراء الإنترنت، بسبب ارتباطه التاريخي بتهديد سيء السمعة.

تايلر ريجولي، مدير أول لأبحاث الأمن والتطوير في فورتراوأوضح: “سيتحدث الجميع هذا الشهر عن CVE-2024-30051 لأنه من المعروف أنه يتم استخدامه في QakBot والبرامج الضارة الأخرى. هذا تحديث يجب تطبيقه في أقرب وقت ممكن نظرًا لطبيعة الثغرة الأمنية وحقيقة أنه تم تأكيد الاستغلال في العالم الحقيقي.”

Qakbot عبارة عن برنامج ضار مصرفي يعود تاريخه إلى أكثر من عقد من الزمن. وقد أصبح مؤخرًا شائعًا بين مجرمي الإنترنت باعتباره حصان طروادة للوصول عن بُعد (RAT) الذي تم استخدامه بشكل كبير من قبل عصابات برامج الفدية مثل LockBit وREvil.

وتمت إزالة بنيتها التحتية في أغسطس 2023 في عملية يقودها مكتب التحقيقات الفيدرالي أُطلق عليها اسم عملية Duck Hunt، ولكن اعتبارًا من فبراير 2024، أفاد باحثون من فريق Sophos X-Ops أن شخصًا لديه حق الوصول إلى كود مصدر Qakbot يبدو أنه يختبر بنيات جديدة وبذل جهود متضافرة لتشديد تشفير البرامج الضارة، مما يعني أن المتغير الجديد يمكن أن يتحدى التحليل بشكل أكثر فعالية.

تم اكتشاف الثغرة بواسطة كاسبيرسكي الباحثون في بداية أبريل، عندما لفتت انتباههم وثيقة مشبوهة تم العثور عليها على موقع VirusTotal. ألمح المستند، المكتوب بلغة إنجليزية ركيكة ويفتقد إلى تفاصيل مهمة، إلى وجود ثغرة أمنية محتملة في نظام التشغيل Windows، لكن سلسلة الاستغلال بدت مطابقة لتلك المستخدمة لتنشيط يوم الصفر السابق. CVE-2023-36033.

للاشتباه في أن الخلل إما خيالي أو هراء غير قابل للاستغلال، اختار فريق Kaspersky التحقيق فيه بشكل أكبر، وسرعان ما اكتشفوا وأبلغوا عن حقيقة أن CVE-2023-30051 كان حقيقيًا. ومنذ ذلك الحين، قام الفريق بمراقبة استخدامه، وقال اليوم إن هناك برمجية استغلالية منتشرة منذ منتصف أبريل.

وقال بوريس لارين، الباحث الأمني ​​الرئيسي في Kaspersky GReAT: “لقد وجدنا الوثيقة الموجودة على VirusTotal مثيرة للاهتمام نظرًا لطبيعتها الوصفية، وقررنا إجراء المزيد من التحقيق، مما دفعنا إلى اكتشاف ثغرة اليوم الصفري الحرجة هذه”. “إن السرعة التي تقوم بها الجهات الفاعلة في مجال التهديد بدمج هذا الاستغلال في ترسانتها تؤكد أهمية التحديثات في الوقت المناسب واليقظة في مجال الأمن السيبراني.”

وقالت Kaspersky إنها تخطط لإصدار المزيد من التفاصيل الفنية لـ CVE-2024-30051 بمجرد مرور الوقت الكافي حتى يتمكن المستخدمون الضعفاء من التحديث.

وأضاف والترز من Action1: “نظرًا لطبيعته الحرجة والتعقيد المنخفض للبرمجية المستغلة، يشكل CVE-2024-30051 خطرًا كبيرًا، لا سيما في البيئات التي تضم العديد من المستخدمين المحليين والمتنوعين، مثل شبكات الشركات والمؤسسات الأكاديمية.

وقال: “إن وجود كود استغلال وظيفي وتقارير استغلال مؤكدة يشير إلى أن المهاجمين على دراية جيدة بهذه الثغرة الأمنية ويستغلونها بنشاط في الحملات”. “في ضوء المستوى العالي من الامتيازات التي يمكن الحصول عليها من خلال هذا الاستغلال، من الضروري للمؤسسات إعطاء الأولوية لنشر برامج Microsoft الرسمية رقعة للتخفيف من الأضرار المحتملة.”