Black Basta 勒索软件利用 Windows 错误报告服务漏洞

研究人员发现了一种利用特权提升漏洞来投放 Black Basta 勒索软件的攻击工具。美国网络安全和基础设施安全局 (CISA)根据主动利用的证据，将Windows 错误报告服务中的漏洞添加到其已知被利用漏洞目录中。这意味着联邦民事行政部门 (FCEB) 机构需要在 2024 年 7 月 4 日之前修复此漏洞，以保护其网络免受主动威胁。

该漏洞被列为CVE-2024-26169，这是一个 Windows 错误报告服务特权提升 (EoP) 漏洞。2024年 3 月补丁星期二的更新中包含了针对此漏洞的补丁。

据报道，该漏洞正被 Black Basta 勒索软件组织积极利用。研究人员发现了一个漏洞利用工具，该工具利用 Windows 文件在创建注册表项时使用空安全描述符这一事实werkernel.sys来启动具有管理权限的 shell。

空安全描述符意味着 Windows 错误报告服务创建注册表项时没有设置安全检查。因此，任何创建的子项都可以由当前运行该进程的用户控制。该漏洞利用此漏洞创建特定的注册表项并更改设置，以便它可以运行自己的程序而不是正常的 Windows 程序。

该工具会创建注册表项的子项

HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionImage File Execution Options

来实现这一点。图像文件执行选项 (IFEO) 用于调试。众所周知，恶意软件不仅会检查是否有处于活动状态的调试器，而且还会利用 IFEO 的功能为自己谋利。

在 VirusTotal 上搜索类似工具表明，该漏洞在被修补为零日漏洞之前就已被利用。

Black Basta 是一家勒索软件即服务运营商，其附属机构部署了多种方法来获取初始访问权限，包括技术支持诈骗，正如我们上个月报道的那样。

该组织近期愈发活跃，报告称过去三个月发动的袭击比过去两年中的任何时候都多。

2022 年 5 月至 2024 年 4 月期间 Black Basta 已知的攻击

Black Basta 是十大最活跃勒索软件组织之一。在我们最新的月度勒索软件评估中，它排名第八，是全球范围内重要的威胁行为者。

2024 年 5 月已知勒索软件攻击（按组织划分）

不久前，联邦调查局 (FBI)、网络安全和基础设施安全局 (CISA)、卫生与公众服务部 (HHS) 和多州信息共享与分析中心 (MS-ISAC) 发布了关于 Black Basta 的联合 网络安全咨询 (CSA)  。该咨询提供了许多与 Black Basta 相关的入侵指标 (IOC) 和战术与技术，值得一读。