Veszélyes biztonsági hibára figyelmeztet a Microsoft

​Továbbra sem csitulnak azok a támadások, amelyek a Windows Zerologon sebezhetőségét használják ki. Ezért a Microsoft újabb figyelmeztetést adott ki.
 

Augusztusban a Windows Server operációs rendszer kapcsán egy veszélyes sérülékenységre derült fény. Már akkor lehetett sejteni, hogy a biztonsági rés a kiberbűnözés figyelmét is intenzíven fel fogja kelteni. Sajnos így is lett, ezért a Microsoft először szeptemberben, másodszor pedig a napokban tett közzé figyelemfelhívást a sérülékenység kockázataival kapcsolatban.
 
Az úgynevezett Zerologon nevű (CVE-2020-1472 azonosítóval ellátott) sebezhetőség a Netlogon Remote Protocol (MS-NRPC) támogatását végző egyik Windows-os összetevőben található. A hiba azért jelent kiemelt kockázatot, mivel a kihasználásával az elkövetők jogosultsági szint emelést hajthatnak végre a kiszemelt tartományokban, illetve tartományvezérlőkön. Ezt követően pedig hitelesítő adatokhoz férhetnek hozzá, és akár teljes körűen átvehetik az irányítást az érintett domain felett, fiókokhoz tartozó jelszavakat módosíthatnak, valamint tetszőleges műveleteket hajthatnak végre. Emiatt a sérülékenység jelentősen kiszolgáltatottá teheti a szervezetek informatikai infrastruktúráját a különféle incidensekkel szemben.
 
A Microsoft a Zerologon sebezhetőséget két lépésben kezelte. A frissítést az augusztus 11-ei hibajavító kedden tette letölthetővé a Windows Server operációs rendszerhez. Ezzel a hibajavítás telepítésére a Windows Server 2008 R2-től kezdve a Windows Server 2019-ig bezárólag mindegyik verzió esetében lehetőség nyílt. Ezzel azonban még nem oldódott meg minden, ugyanis szeptemberben a vállalat újabb iránymutatásokat adott ki a sérülékenység kezelése érdekében. A többször frissített KB4557222-es cikkében részletesen ismerteti a teljes folyamatot, és kitér a frissítés, a sebezhető eszközök detektálásának és beazonosításának, valamint a szükséges biztonsági házirendek kikényszeríthetőségének lehetőségeire is.
 
Gyors reakció
 
A Zerologonra viszonylag hamar ráhangolódtak egyes kiberbűnözői csoportok. Miután a Microsoft kiadta az első figyelmeztetését, a Cisco Talos kutatói olyan támadásokat detektáltak, amelyek a Zerologonra épültek. Októberben pedig már a hírhedt Dridex banki trójai mögött álló TA505 csoport is elkezdte kihasználni a biztonsági rést arra, hogy a Clop nevű zsarolóprogramot terjessze.
 
"A Microsoft viszonylag kevés számú bejelentést kapott az ügyfeleitől és egyes szervezetektől, hogy a Netlogon protokollt érintő sebezhetőség kihasználása továbbra is zajlik" - közölte a vállalat. Majd hozzátette, hogy "azt javasoljuk minden érintettnek, hogy ha még nem telepítették a frissítéseket, akkor azt rögtön tegyék meg. A megfelelő védelem érdekében szükség van a hibajavításra, valamint az iránymutatásaink követésére, amelyeket a KB4557222-es cikkben ismertetünk".