Magniber-ransomware utnyttjar sårbarhet i Windows SmartScreen

Cybersäkerhetsföretaget Picus Security har rapporterat att Magniber-ransomwaregruppen utnyttjar säkerhetssårbarheten CVE-2023-24880. Denna sårbarhet, som påverkar Windows SmartScreen, tillåter angripare att kringgå "Mark of the Web"-beteckningen i Windows, vilket försvårar skyddet av slutpunkter.

Sårbarheten, som avslöjades av Microsoft, påverkar Windows 10, Windows 11 och Windows Server 2016 samt senare versioner. Forskare från Google TAG har kopplat sårbarheten till spridning av Magniber-ransomware. Picus Labs har lagt till attacksimuleringar för Magniber-ransomware i sitt hotbibliotek.

Magniber-ransomware, som först upptäcktes sent 2017, har kontinuerligt utvecklats. Tidigare har den maskerat sig som en Windows-uppdatering och utnyttjat tidigare SmartScreen-kringgående sårbarheter, såsom CVE-2022-44698, via JavaScript.

Den nya sårbarheten, CVE-2023-24880, är en följd av det tidigare SmartScreen-kringgåendet. Den finns i funktionen DoSafeOpenPromptForShellExec i modulen shdocvw.dll. I ett specifikt scenario, när en SmartScreen-begäran returnerar ett fel vid bearbetning av filens signatur, kan funktionen exekvera filen utan säkerhetsvarning till användaren. Även om Microsoft har patchat tidigare sårbarheter, verkar CVE-2023-24880 kringgå dessa korrigeringar.