Ryuk Ransomware gebruikt bij aanvallen die misbruik maken van Windows MSHTML-bug
In samenwerking met security RiskIQ hebben Microsoft-beveiligingsonderzoekers aangekondigd dat de recent gedetailleerde en gepatchte kwetsbaarheid CVE-2021-40444 actief is misbruikt door bedreigingsactoren die later de beruchte Ryuk-ransomware op gecompromitteerde systemen hebben ingezet.
We hebben het beveiligingslek CVE-2021-40444 al behandeld, dat werd beschreven in de reguliere Patch Tuesday-sessie van deze maand door Microsoft. De bug betreft een kwetsbaarheid voor het uitvoeren van externe code, geactiveerd in de Windows MSHTML-engine, wanneer een slachtoffer een speciaal gemaakt, met malware beladen Office-bestand opent. De bestanden moeten een kwaadaardig ActiveX-besturingselement bevatten zodat hackers de bug kunnen misbruiken.
RiskIQ gelooft dat de aanval het werk is van cybercriminelen, Wizard Spider. De infrastructuur die werd gebruikt in deze nieuwste kwaadaardige campagne gericht op systemen die tot nu toe geen patches voor CVE-2021-40444 hadden, overlapte en vertoonde vergelijkbare patronen als de infrastructuur die Wizard Spider in het verleden in oudere campagnes heeft gebruikt met behulp van de Ryuk ransomware-payload.
Volgens de onderzoekers misbruiken de hackers de MSHTML-bug alleen als eerste stap om voet aan de grond te krijgen op een systeem. Vanaf dit punt zetten ze Cobalt Strike-bakenladers in die aansluiten op de rest van wat waarschijnlijk Wizard Spider-serverinfrastructuur is.
Deze nieuwe aanval hielp de infosec-gemeenschap eraan herinneren dat er nog andere ransomware-bendes zijn, naast de REvil- en DarkSide-groep. De afgelopen maanden waren alle krantenkoppen met betrekking tot ransomware-aanvallen altijd gericht op de laatste twee dreigingsactoren, die op hun beurt zogenaamd een lange vakantie hadden genomen. Of de Ryuk ransomware-bende weer relevanter probeert te worden en de door REvil en DarkSide vrijgekomen ruimte invult, valt nog te bezien.
Het feit dat de kwetsbaarheid CVE-2021-40444 al bewezen is misbruikt te worden voor zo gevaarlijke aanvallen, laat zien hoe ongelooflijk belangrijk het is om netwerken en alle daarmee verbonden apparaten gepatcht te houden met de laatste updates van de uitgevers op dezelfde dag dat de nieuwe pleister is uit. De patch voor de MSHTML-kwetsbaarheid is al uit en alle verdere succesvolle aanvallen die er misbruik van maken, zouden volledig vermijdbaar moeten zijn.
