Windows ievainojamība izmantota PipeMagic un RansomExx uzbrukumiem 🗓 2025. gada 18. augusts

Windows ievainojamība izmantota PipeMagic un RansomExx uzbrukumiem 🗓 2025. gada 18. augusts Kiberdrošības pētnieki ziņo par jaunu kampaņu, kurā uzbrucēji izmantoja ievainojamību Microsoft Windows operētājsistēmā, lai izplatītu ļaunprogrammatūru PipeMagic, kas saistīta ar izspiedējprogrammu RansomExx. 🔑 Uzbrukuma detaļas • Ievainojamība CVE-2025-29824 Windows CLFS (Common Log File System) apakšsistēmā ļāva uzbrucējiem paaugstināt privilēģijas. • Microsoft šo ievainojamību novērsa 2025. gada aprīlī, taču daudzas organizācijas laikus neinstalēja atjauninājumus. • PipeMagic pirmo reizi tika fiksēts jau 2022. gadā uzbrukumos rūpniecības uzņēmumiem Dienvidaustrumāzijā. ⚙️ Kā darbojas PipeMagic • PipeMagic ir modulārs “backdoor” ar spraudņiem, kas ļauj izpildīt plašu komandu klāstu. • Komunikācijai tas izmanto nosauktās caurules (named pipes) ar nejauši ģenerētiem atslēgām šifrētai datu apmaiņai. • Papildu komponenti tiek maskēti kā likumīgi faili (piem., googleupdate.dll). • Tiek izmantotas DLL hijacking un Microsoft Help Index (.mshi) ielādētāju metodes. 🎯 Uzbrukumu mērķi un ģeogrāfija • Iepriekš: Saūda Arābija un Dienvidaustrumāzija. • 2025. gadā: Brazīlija un jaunas kampaņas Tuvajos Austrumos. • Kā ēsma izmantotas viltotas ChatGPT lietotnes. 📌 PipeMagic moduļi • Asinhronais modulis failu pārvaldībai. • Ielādētājs papildu kaitīgo kodu injicēšanai. • Injektors C# izpildāmo failu palaišanai. 🚩 Ekspertu secinājumi • 2025. gada versija ir uzlabota, ar spēju noturēties sistēmā un izplatīties tīklā. • Fiksēta ProcDump izmantošana (pārdēvēta par dllhost.exe) datu iegūšanai no LSASS procesa (lietotāju akreditācijas dati). • PipeMagic joprojām aktīvi tiek izmantots, un tā funkcionalitāte tiek attīstīta. ⸻ 💡 Ko darīt organizācijām? • Instalēt jaunākos Windows drošības atjauninājumus. • Kontrolēt administrēšanas rīku (ProcDump u.c.) izmantošanu. • Uzraudzīt aizdomīgus tīkla kanālus un DLL failu darbību. • Ieviest daudzslāņu aizsardzību un tīkla segmentāciju (VLAN + Firewall). ⸻ 🔐 SIA DICOM palīdz organizācijām identificēt ievainojamības, ieviest kiberdrošības risinājumus un atbilst NIS2 prasībām. 📞 Kontakti: +371 25425990 | ✉ info@dicom.lv | 🌍 www.dicom.lv