Introduzione agli aggiornamenti di Microsoft
Il 12 novembre, Microsoft ha rilasciato aggiornamenti cumulativi per le versioni di Windows 11 (22H2, 23H2, 24H2) e Windows 10 (22H2). Questi aggiornamenti sono stati progettati per correggere due vulnerabilità zero-day, una delle quali è stata sfruttata da cybercriminali russi per attaccare organizzazioni ucraine.
Dettagli sulla vulnerabilità CVE-2024-43451
La vulnerabilità identificata come CVE-2024-43451 è stata scoperta dai ricercatori di ClearSky nel mese di giugno. Questa falla di sicurezza consente ai malintenzionati di rubare gli hash NTLMv2 degli utenti che si connettono a un server remoto controllato dai cybercriminali. Il processo di attacco inizia con l’invio di email di phishing, provenienti da server compromessi, che contengono link ingannevoli per il rinnovo di certificazioni accademiche.
La catena di infezione e il ruolo di SparkRAT
Quando la vittima clicca sul link, viene scaricato un archivio ZIP contenente un file URL. Interagendo con questo file, si stabilisce una connessione con un server remoto, dal quale viene scaricato SparkRAT, un malware che consente ai criminali di prendere il controllo del computer della vittima. Durante questo processo, gli hash NTLMv2 vengono rubati tramite il protocollo SMB, rendendo le credenziali di login vulnerabili a ulteriori attacchi.
Risposta di Microsoft e raccomandazioni per gli utenti
Dopo aver ricevuto informazioni dettagliate da ClearSky, Microsoft ha prontamente rilasciato le patch necessarie per correggere la vulnerabilità zero-day. Gli utenti sono fortemente incoraggiati a installare gli ultimi aggiornamenti tramite Windows Update per proteggere i propri sistemi.
Nonostante questo tipo di attacco sia stato utilizzato in passato, gli esperti ritengono che il gruppo di cybercriminali responsabile sia UAC-0194, noto per le sue operazioni mirate.
Implicazioni per le aziende e scadenze di sicurezza
La CISA (Cybersecurity and Infrastructure Security Agency) degli Stati Uniti ha emesso un avviso, ordinando alle aziende di installare le patch entro il 3 dicembre. Questa scadenza sottolinea l’urgenza di proteggere i sistemi informatici da potenziali attacchi, specialmente in un contesto geopolitico teso come quello attuale. È fondamentale che le organizzazioni adottino misure preventive per garantire la sicurezza delle proprie infrastrutture.
