
Im Zuge der Analyse des bekannten Exploits CVE-2021-1732 [1] der APT-Gruppe BITTER entdeckten die Experten von Kaspersky einen weiteren Zero-Day-Exploit [2] im Desktop Window Manager. Bisher kann dieser nicht mit einem bekannten Bedrohungsakteur in Verbindung gebracht werden. Eine beliebige Code-Ausführung seitens Cyberkriminellen auf dem Opfer-Computer wäre möglich.
Bei Zero-Day-Schwachstellen handelt es sich um bislang unbekannte Software-Bugs. Bis zu ihrer Entdeckung können Angreifer diese unbemerkt für schädliche Aktivitäten missbrauchen und schweren Schaden anrichten.
Bei der Analyse des Exploits CVE-2021-1732 fanden die Experten von Kaspersky einen weiteren Zero-Day-Exploit und meldeten ihn im Februar 2021 an Microsoft. Nach der Bestätigung, dass es sich tatsächlich um einen Zero-Day handelt, erhielt die Schwachstelle die Bezeichnung CVE-2021-28310.
Laut den Forschern wird dieser Exploit in freier Wildbahn verwendet – möglicherweise von mehreren Bedrohungsakteuren. Es handelt sich um einen sogenannten EoP-Exploit (Escalation of Privilege), der sich im Desktop Window Manager befindet und mit dem Angreifer beliebigen Code auf dem Computer eines Opfers ausführen können.
Wahrscheinlich wird dieser Exploit zusammen mit weiteren Browser-Exploits verwendet, um Erkennung innerhalb einer Sandbox zu entgehen und um Systemberechtigungen für den weiteren Zugriff zu erhalten. Bei der ersten Analyse durch Kaspersky konnte nicht die gesamte Infektionskette ermittelt werden. Daher ist noch nicht bekannt, ob der Exploit mit einem anderen Zero-Day-System oder mit bekannten, gepatchten Sicherheitslücken verwendet wird.
„Der Exploit wurde durch unsere fortschrittliche Exploit-Prevention-Technologie und die damit verbundenen Erkennungsaufzeichnungen identifiziert“, erklärt Boris Larin, Sicherheitsexperte bei Kaspersky. „Wir haben in den vergangenen Jahren eine Vielzahl von Exploit-Schutztechnologien in unsere Produkte integriert, die bereits mehrere Zero-Days erkannt haben und damit ihre Wirksamkeit immer wieder unter Beweis stellen. Wir werden den Schutz unserer Nutzer weiter verbessern, indem wir unsere Technologien kontinuierlich optimieren und mit Drittanbietern zusammenarbeiten, um Schwachstellen zu beheben und das Internet für alle sicherer zu machen.“
Am 13. April 2021 wurde ein Patch für die Sicherheitslücke CVE-2021-28310 veröffentlicht [3].
Kaspersky-Produkte erkennen diesen Exploit als:
. HEUR:Exploit.Win32.Generic
. HEUR:Trojan.Win32.Generic
. PDM:Exploit.Win32.Generic
Kaspersky-Empfehlungen zum Schutz vor Zero-Day-Exploits
- Umgehend die verfügbaren Patches für die entdeckte Sicherheitslücke installieren, damit Cyberkriminelle letztere nicht länger ausnutzen können. Sicherheitslücken- und Patch-Management-Funktionen in einer Endpoint-Protection-Lösung wie Kaspersky Endpoint Security for Business [4] können hierbei unterstützen.
- Das SOC-Team sollte stets Zugriff auf aktuelle Bedrohungsinformationen haben. Das Kaspersky Threat Intelligence Portal [5] ist ein zentraler Zugangspunkt für die Threat Intelligence des Unternehmens und bietet umfassende Daten zu Cyberangriffen.
- Neben einer Endpoint-Sicherheitslösung sollte zudem ein dedizierter Schutz vor Bedrohungen auf Netzwerkebene implementiert werden. Kaspersky Anti Targeted Attack Platform [6] erkennt diese frühzeitig und behebt diese.
Weitere Informationen zum entdeckten Exploit sind verfügbar auf Securelist unter https://securelist.com/zero-day-vulnerability-in-desktop-window-manager-cve-2021-28310-used-in-the-wild/101898/
Weitere Informationen zur APT-Gruppe BITTER und IOCs stehen Kunden von Kaspersky Intelligence unter intelreports@kaspersky.com zur Verfügung.
[1] https://ti.dbappsecurity.com.cn/blog/index.php/2021/02/10/windows-kernel-zero-day-exploit-is-used-by-bitter-apt-in-targeted-attack/ [2] https://securelist.com/zero-day-vulnerability-in-desktop-window-manager-cve-2021-28310-used-in-the-wild/101898/ [3] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-28310 [4] https://www.kaspersky.de/enterprise-security/endpoint [5] https://www.kaspersky.de/enterprise-security/threat-intelligence [6] https://www.kaspersky.de/enterprise-security/anti-targeted-attack-platformFachartikel

Das Aktualisieren von Software-Agenten als wichtige Praktik der Cyberhygiene auf MSP-Seite

Kosteneinsparungen und Optimierung der Cloud-Ressourcen in AWS

CVE-2023-23397: Der Benachrichtigungston, den Sie nicht hören wollen

Wie sich kleine und mittlere Unternehmen proaktiv gegen Ransomware-Angriffe wappnen

Attraktivität von MSP-Geschäftsmodellen gegenüber Investoren gezielt steigern
Studien

Studie zeigt 193 Millionen Malware-Angriffe auf Mobilgeräte von Verbrauchern im EMEA-Raum

2023 State of the Cloud Report

Trotz angespannter Wirtschaftslage: die Security-Budgets steigen, doch der IT-Fachkräftemangel bleibt größte Hürde bei Erreichung von Security-Zielen

BSI-Studie: Viele Software-Produkte für Onlineshops sind unsicher

Wie Cloud-Technologie die Versicherungsbranche revolutioniert
Whitepaper

Aktueller Datenschutzbericht: Risiko XXL am Horizont

Vertrauen in die Lieferkette durch Cyber-Resilienz aufbauen

TXOne Networks und Frost & Sullivan veröffentlichen Jahresbericht 2022 über aktuelle Cyberbedrohungen im OT-Bereich

Fast die Hälfte aller Organisationen im Gesundheitswesen von Datensicherheitsverletzungen betroffen

Ransomware-Gruppe LockBit steckt am häufigsten hinter der illegalen Veröffentlichung gestohlener Daten
Unter4Ohren

Optimierung der Cloud-Ressourcen und Kosteneinsparungen in AWS

DDoS – der stille Killer

Continuous Adaptive Trust – mehr Sicherheit und gleichzeitig weniger mühsame Interaktionen

Datenschutz und -kontrolle in jeder beliebigen Cloud bei gleichzeitiger Kostensenkung, Reduzierung der Komplexität, Verbesserung der Datenverfügbarkeit und Ausfallsicherheit
