Luka w Windows przyczyną nowych ataków, także w Polsce. Uwaga na malware PowerPool
Wraca temat luki 0-day wykrytej niedawno w Windowsie, o której głośno było przede wszystkim w ubiegłym tygodniu. Mowa o kłopotliwym Harmonogramie zadań, w którym znaleziono lukę pozwalającą szkodliwemu oprogramowaniu podnieść swoje uprawnienia do systemowych, a te wykorzystać przeciw użytkownikowi. Luka dotyczy Windowsa 7, 8, 8.1 oraz 10. Microsoft potwierdził problem, ale jednocześnie poinformował, że łatka pojawi się najwcześniej zgodnie z terminarzem wydawania zbiorczych aktualizacji, czyli w ramach Patch Tuesday we wrześniu, co oznacza, że nadal trzeba na nią czekać.
W oczekiwaniu na aktualizację, możemy tymczasem obserwować pierwsze próby wykorzystania opisywanej luki, na co zwracają uwagę analitycy bezpieczeństwa z firmy ESET. W sieci pojawiło się bowiem szkodliwe oprogramowanie, z uwagi na swoją naturę zwane PowerPool, które wykorzystuje opisaną lukę w Harmonogramie. Skutki jego działania widoczne są na niewielkiej póki co grupie użytkowników z Europy, ale warto zwrócić uwagę, że zgłoszenia o próbach ataku napływają już również z Polski. Poza tym problemy pojawiają się między innymi na Ukrainie, w Rosji, Wielkiej Brytanii, Niemczech oraz USA.
Wykorzystanie luki nie jest zadaniem tak trudnym, jak mogłoby się wydawać. Warto bowiem przypomnieć, że już na etapie jej odkrycia, w sieci pojawił się kod stanowiący dowód na jej istnienie i został udostępniony na GitHubie, gdzie do niedawna wciąż był dostępny. Każdy był więc w stanie go pobrać i zależnie od swoich umiejętności dodatkowo dopracować, aby później wykorzystać w hipotetycznym ataku. Tak też się stało w opisywanym tu przypadku, ale jak informują specjaliści, atakujący nie poszli na łatwiznę i najpierw zmodyfikowali nieco kod w taki sposób, by wykorzystywał do działania aplikację GoogleUpdate, prawdziwy program służący do aktualizacji oprogramowania Google.
Jak informuje ESET, wszystko wskazuje na to, że atakujący zaczynają swoje działania od wysłania potencjalnej ofierze wiadomości e-mail zawierającej w sobie szkodliwy plik. Sprytna zmiana w kodzie sprawia, że uruchomiony załącznik zyskuje systemowe uprawnienia przy następnej okazji, gdy uruchamiana jest aktualizacja programów Google'a. Od tego momentu szkodliwy program nie jest w żaden sposób ograniczany, a jego dalsze działanie jest już tylko formalnością. Jak wskazują pierwsze obserwacje, atak nie wyrządza na ten moment dotkliwych szkód, bo polega głównie na obserwacji systemów użytkowników, które zapewne zostaną dopiero wykorzystane do innych celów.
Raz jeszcze warto dodać, że na tę chwilę wciąż nie jest dostępna aktualizacja, która mogłaby uodpornić system na opisywany atak. Zgodnie z deklaracjami, łatki zostaną udostępnione wraz z pozostałymi aktualizacjami zbiorczymi we wrześniu, czyli już w najbliższy wtorek. Do tego czasu warto być rozważnym podczas przeglądania poczty i jak zwykle unikać podejrzanych wiadomości od nieznajomych.