Microsoft a corrigé une vulnérabilité Zero Day affectant toutes les versions prises en charge de Windows, que les chercheurs affirment que les pirates ont exploitée pour lancer des attaques de ransomware.
Microsoft dit dans une alerte de Sécurité mardi, selon laquelle un attaquant qui aurait réussi à exploiter la vulnérabilité du système de fichiers journaux communs de Windows (CLFS) pourrait obtenir un accès complet à un système non corrigé. Microsoft a confirmé que les attaquants exploitaient activement cette vulnérabilité.
Société russe de cybersécurité Kaspersky dit la faille a été utilisée pour déployer le ransomware Nokoyawa, ciblant principalement les serveurs Windows appartenant à des petites et moyennes entreprises basées au Moyen-Orient, en Amérique du Nord et en Asie.
Dans son analyse de la vulnérabilité, Kaspersky affirme que le Zero Day se distingue par le fait qu'il est activement exploité par des cybercriminels motivés par l'argent.
« Les groupes de cybercriminalité sont de plus en plus sophistiqués et utilisent des exploits du jour zéro dans leurs attaques », a déclaré Boris Larin, chercheur principal en sécurité chez Kaspersky. «Auparavant, ils étaient principalement un outil des acteurs APT, mais les cybercriminels disposent désormais des ressources nécessaires pour acquérir des vulnérabilités Zero Day et les utiliser régulièrement dans leurs attaques.»
Nokoyawa a été observé pour la première fois en février 2022 et serait lié au gang de ransomwares Hive, aujourd'hui disparu, que les forces de l'ordre ont infiltré et fermé en janvier. « Les deux familles partagent des similitudes frappantes dans leur chaîne d'attaque, depuis les outils utilisés jusqu'à l'ordre dans lequel elles exécutent les différentes étapes », Trend Micro dit dans une analyse de l’époque.
Le malware Nokoyawa crypte les fichiers sur les systèmes qu'il compromet, mais les opérateurs prétendent également voler des informations précieuses qu'ils menacent de divulguer à moins qu'une rançon ne soit payée.
L'agence américaine de cybersécurité CISA a ajouté la vulnérabilité Windows récemment corrigée à son catalogue de vulnérabilités exploitées connues et a exhorté les agences fédérales à mettre à jour les systèmes avant le 2 mai.
Microsoft a corrigé près de 100 failles dans le cadre de sa mise à jour régulière du Patch Tuesday. Le géant de la technologie a également corrigé une faille d'exécution de code à distance qui pourrait permettre à un attaquant distant non authentifié d'exécuter son code avec des privilèges élevés sur les serveurs concernés avec le service Message Queuing de Microsoft activé.
