Los atacantes de ransomware están abusando de varios controladores de día cero CLFS de Windows

Durante el último año y medio, los atacantes han explotado al menos cinco vulnerabilidades, incluidas cuatro vulnerabilidades de día cero, en un controlador sensible de Windows a nivel de kernel.

Una serie de informes El error, publicado esta semana por Securelist de Kaspersky, apunta no sólo a un puñado de errores, sino a un problema más grande y sistémico en la implementación actual del Sistema de archivos de registro común de Windows (CLFS).

CLFS es un sistema de registro de propósito general y alto rendimiento disponible para clientes de software en modo de usuario o kernel. Su acceso al kernel lo hace extremadamente útil para los piratas informáticos que buscan privilegios de sistema de bajo nivel, y su diseño centrado en el rendimiento ha dejado una serie de agujeros de seguridad en los últimos años, particularmente atacados por los actores de ransomware.

«Los controladores del kernel deben tener mucho cuidado al manejar archivos porque si se descubre una vulnerabilidad, los atacantes pueden explotarla y obtener privilegios del sistema», le dice a Dark Reading Boris Larin, investigador senior de seguridad en el equipo de análisis e investigación global de Kaspersky. Desafortunadamente, «las decisiones de diseño en Windows CLFS han hecho que sea casi imposible analizar de forma segura estos archivos CLFS, lo que ha provocado la aparición de una gran cantidad de vulnerabilidades similares».

El problema con Windows CLFS

Días cero en el nivel Win32k no son del todo infrecuentes, admitió Larin en su investigación. Sin embargo, escribió: “Nunca antes habíamos visto tantos exploits del controlador CLFS utilizados en ataques activos y, de repente, tantos de ellos fueron capturados en solo un año. ¿Hay algún problema grave con el controlador CLFS?

Este año no ha cambiado nada especial en el controlador CLFS. Más bien, los atacantes parecen haber descubierto recién ahora lo que estaba mal en todo momento: se inclina demasiado hacia la izquierda en ese equilibrio eterno e ineludible entre rendimiento y seguridad.

«CLFS puede estar demasiado ‘optimizado para el rendimiento'», escribió Larin, describiendo las diversas formas en que el conductor lo prioriza sobre la protección. “Sería mejor tener un formato de archivo razonable en lugar de escribir un volcado de estructuras del núcleo en un archivo. Todo el trabajo con estas estructuras del núcleo (con punteros) ocurre allí mismo, en los bloques que se leen del disco. Porque se le hacen cambios: «Si hay bloques y estructuras del kernel almacenados allí y esos cambios deben escribirse en el disco, el código volverá a analizar los bloques cada vez que necesite acceder a algo».

Añadió: “Todo este análisis se realiza mediante compensaciones relativas, que pueden apuntar a cualquier ubicación dentro de un bloque. Si alguna de estas compensaciones se corrompe en la memoria durante la ejecución, las consecuencias pueden ser catastróficas. Pero quizás lo peor de todo es que las compensaciones en el archivo BLF en el disco se pueden manipular de modo que diferentes estructuras se superpongan, lo que lleva a consecuencias imprevistas”.

La suma de todas estas opciones de diseño es un registro eficaz de datos y eventos, pero también numerosos errores fácilmente explotables. Hubo tales solo en 2023 CVE-2022-24521, CVE-2022-37969, CVE-2023-23376, CVE-2023-28252 – todas con una gravedad alta, 7,8 en la escala CVSS – utilizada como vulnerabilidad de día cero, así como una quinta vulnerabilidad que fue parcheada antes de que se observara actividad maliciosa asociada en la naturaleza. Todo esto fue aprovechado por los atacantes, como descubrió Kaspersky, entre ellos, por ejemplo Explotación de CVE-2023-28252 por parte del grupo de ransomware Nokoyawa.

Sin algún tipo de rediseño, es posible que CLFS continúe brindando oportunidades de escalada para los piratas informáticos. Para prepararse para esto, sugiere Larin, “las empresas deben centrarse en implementar las mejores prácticas de seguridad: instalar siempre actualizaciones de seguridad de manera oportuna, instalar productos de seguridad en todos los puntos finales, restringir el acceso a sus servidores y prestar mucha atención a las detecciones de antivirus que realizan. «Servidores, capaciten a los empleados para que no se conviertan en víctimas de phishing».