CVE-2024-21338 olarak bilinen Windows güvenlik açığı, ilk olarak yaklaşık altı ay önce Avast siber güvenlik araştırmacıları tarafından keşfedildi. Windows Kernel ayrıcalık yükseltmeye yarayan bu açık, appid.sys Windows AppLocker sürücüsünde bulundu. Birden fazla Windows 10 ve Windows 11 işletim sistemi sürümünü etkilediği belirtildi. Açık ayrıca Windows Server 2019 ve 2022’de de bulundu.
Microsoft, güvenlik açığını yama ile düzeltti
Geçen yıl Avast araştırmacıları, bu açığın bir sıfır gün açığı olarak kullanıldığını belirterek Microsoft’u bilgilendirdi. O zamandan beri Kuzey Koreliler de dahil olmak üzere bazı dünyanın en büyük ve en tehlikeli tehdit aktörleri bu açığı aktif olarak kullanıyorlar.
Kuzey Kore hükümeti ile bağlantılı olduğu bilinen bir tehdit aktörü olan Lazarus Group, bu açığı kötüye kullanarak savunmasız cihazlara çekirdek düzeyinde erişim elde etti ve antivirüs programlarını devre dışı bıraktı.
Sıfır günü kullanmak için Lazarus, ilk kez 2022’nin sonlarında fark edilen özel bir rootkit olan FudModule’un yeni bir sürümünü kullandı. Önceki saldırılarda rootkit bir Dell sürücüsünü kötüye kullanıyordu, bu da BYOVD (Bring Your Own Vulnerable Driver – Kendi Savunmasız Sürücünüzü Getirin) saldırısı olarak biliniyor.
Şu an FudModule daha gizemli ve daha işlevsel hale geldi. Zira tespit edilmeyi önlemenin daha fazla yolunu ve uç nokta koruma çözümlerini devre dışı bırakma seçeneklerini sunuyor.
Windows 11 yapışkan tuşlar nasıl kapatılır?
Görünüşe göre grup, AhnLab V3 Endpoint Security, Windows Defender, CrowdStrike Falcon ve HitmanPro antimalware çözümü gibi ürünleri devre dışı bırakmak için bunu kullandı. Geçtiğimiz ayın sonu itibariyle bu açık için artık resmi bir yama mevcut. Microsoft, geçen hafta açığı gideren güncellemelerini yayınladı. Saldırganlarla ilgili detaylar paylaşılmadı.
Microsoft, “Bu açığı kullanmak için, saldırganın öncelikle sistemde oturum açması gerekecektir. Bir saldırgan daha sonra, etkilenen bir sistem üzerinde kontrol alabilecek bir açığı kötüye kullanabilecek özel olarak oluşturulmuş bir uygulamayı çalıştırabilir” diye durumu açıkladı.
Siz de dolayısıyla güncellemeyi Windows Update kısmını kontrol edip yapmayı unutmayın. Siz ne düşünüyorsunuz? Düşüncelerinizi yorumlar kısmından bizlerle paylaşmayı lütfen unutmayın.
