Luka w zabezpieczeniach Eksploratora plików systemu Windows występuje od ośmiu lat: czy naprawdę jest taka groźna?

Luka wykryta w Eksploratorze plików Windows

Niepokojąca luka w Eksplorator plików systemu Windows przyciąga wiele uwagi. Usterka ta, zidentyfikowana przez inicjatywę Trend Zero Day Initiative (ZDI), pozostaje nienaprawiona przez firmę Microsoft po ośmiu latach. Pozwala atakującym aby uruchomić zaawansowane trwałe zagrożenia (APT) w celu wykonania dowolny kod, filtruje wrażliwe dane i infiltruje sieci.

Konsekwencje luki ZDI-CAN-25373

Odkryty przez badaczy Trend Micro, podatność ZDI-CAN-25373 objawia się błędną obsługą plików skrótów (.lnk) przez Eksplorator plików Windows. Donoszono o wykorzystywaniu tej słabości w różnych sektorach, takich jak rządy, organizacje pozarządowe, a nawet systemy obronne. Możliwość wykorzystania przez osoby atakujące plików .lnk do ukrycia złośliwych poleceń sprawia, że ​​zagrożenie to budzi szczególne obawy.

Krytyka Microsoftu

Eksperci krytykują stanowisko Microsoftu, który nie publikujeaktualizacja poprawki za tę krytyczną wadę. Istnieje poczucie niepewności, czy Microsoft faktycznie pracuje nad rozwiązaniem. ZDI opublikowało szczegółowe analizy, które mają nakłonić firmę do działania.

Sektory dotknięte luką

Wpływ ZDI-CAN-25373 jest odczuwalny głównie we wrażliwych sektorach:

• Rząd
• Finanse, w tym kryptowaluty
• Obrona
• Energia

Te cyberataki zazwyczaj mają na celu kradzież poufnych informacji, grożąc w ten sposób bezpieczeństwo narodowe i integralność danych.

Mechanizm wykorzystania luki w zabezpieczeniach systemu Windows

Analiza techniczna podatności ZDI-CAN-25373 ujawnia złożony mechanizm wykorzystywany przez atakujących. Pliki .lnk służą jako punkt wejścia do wprowadzenia złośliwego kodu poprzez subtelne manipulacje.

Struktura używanych plików .lnk

Plik .lnk zawiera kilka kluczowych elementów, takich jak:

• Nagłówek ShellLink: zawiera HeaderSize i LinkCLSID.
• LinkFlags: wskazuje obecność poleceń wykonawczych.
• COMMAND_LINE_ARGUMENTS: zapisuje polecenia do wykonania.
• ICON_LOCATION: często modyfikowane w celu ukrycia złych intencji.

Manipulując tymi komponentami, atakujący mogą skutecznie ukryć szkodliwe polecenia. Z wiele raportów kładź nacisk na tworzenie dużych plików .lnk w celu ominięcia systemów wykrywania.

Strategie atakującego i techniki uników

Techniki wykorzystywane do wykorzystania tej luki obejmują wstawianie znaków tabulacji i spacji w celu ukrycia rzeczywistych zamiarów w plikach .lnk. Manipulacje te umożliwiają atakującym ominięcie tradycyjnych mechanizmów bezpieczeństwa poprzez ukrycie szkodliwych elementów w opisach plików.

Ponadto w niektórych wyrafinowanych atakach wykorzystywane są wyjątkowo duże pliki, do 70 MB, co jeszcze bardziej komplikuje ich identyfikację. Złośliwi aktorzy lubią APT37 I Konni pokazał siłę takich metod. Naukowcy uważają, że praktyki te są wspierane przez podmioty państwowe z krajów takich jak Korea Północna i Iran, co czyni sytuację jeszcze bardziej niepokojącą.

Środki ostrożności, które należy podjąć podczas postępowania ze zmodyfikowanymi plikami .lnk

Dla użytkowników Okna, wymagana jest szczególna czujność podczas zarządzania plikami .lnk. Pomimo wbudowanych narzędzi, takich jak Microsoft Defender, zrozumienie praktyk bezpieczeństwa jest niezbędne do uniknięcia zagrożeń.

Dobre praktyki użytkowania i zarządzania

Kilka zaleceń dotyczących ochrony przed atakami za pośrednictwem plików .lnk:

• Unikaj otwierania plików .lnk z nieznanych źródeł.
• Do skanowania pobranych plików użyj aktualnego programu antywirusowego.
• Włącz zaawansowane funkcje bezpieczeństwa, takie jak Inteligentna kontrola aplikacji.

Rola aktualizacji zabezpieczeń

Microsoft, choć krytykowany, regularnie oferuje aktualizacje zabezpieczeń. Nie naprawiają tej wady, ale wzmacniają inne aspekty bezpieczeństwa systemu. Aby móc korzystać z najnowszych zabezpieczeń, niezwykle istotne jest aktualizowanie oprogramowania.

Ocena reakcji firmy Microsoft na trwałe zagrożenie

Microsoft był za to krytykowany brak odpowiedzi w obliczu luki w plikach .lnk. Mimo to firma wymieniła kilka środków mających na celu zminimalizowanie ryzyka.

Aktualne postępy w bezpieczeństwie

Choć luka nie została jeszcze usunięta, Microsoft twierdzi, że jej program Defender i Smart App Control skutecznie neutralizują zagrożenie, jakie stanowią pliki .lnk pochodzące ze źródeł zewnętrznych. Zalecają również unikanie otwierania załączników z nieznanych źródeł.

Krytycy ze społeczności technicznej

Społeczność zgadza się, że Microsoft musi aktywnie zająć się tym zagrożeniem. Chociaż widoczność plików .lnk pozostaje problematyczna (rozszerzenia często nie są wyświetlane), niektóre oczekuje się poprawy informować i chronić użytkowników.