Una vulnerabilidad reciente en el mecanismo de protección Windows SmartScreen está siendo explotada activamente en ataques que permiten la infección por un malware denominado Phemedrone Stealer. El error, identificado como CVE-2023-36025, fue revelado el 14 de noviembre de 2023, cuando Microsoft lanzó parches y la Agencia Estadounidense de Ciberseguridad (CISA) lo incluyó en su catálogo de vulnerabilidades explotadas conocidas.
Detalles técnicos de la vulnerabilidad
Según el aviso publicado por Microsoft, la vulnerabilidad puede ser explotada al enviar un archivo de acceso directo a Internet (URL) diseñado para un usuario y convencerlo de hacer clic en él. El atacante podría así eludir las comprobaciones de Windows Defender SmartScreen y sus mensajes asociados.
Explotación activa por parte de actores maliciosos
Tras la divulgación y demostración pública, se lanzaron varios exploits de prueba de concepto (PoC) y múltiples actores de amenazas los incorporaron en sus cadenas de ataque. Trend Micro informa que una campaña maliciosa está explotando activamente CVE-2023-36025 para entregar Phemedrone Stealer, un malware previamente desconocido capaz de recopilar gran cantidad de información de los sistemas infectados.
Características del malware Phemedrone Stealer
Escrito en C#, este malware está disponible como código abierto y se mantiene activamente en GitHub y Telegram. Además de robar datos de navegadores web, billeteras de criptomonedas y varias aplicaciones de mensajería (incluidas Telegram, Steam y Discord), la amenaza toma capturas de pantalla y recopila información del sistema, incluyendo detalles del hardware y datos de ubicación.
Proceso de explotación
Los archivos URL maliciosos que explotan CVE-2023-36025 están alojados en Discord u otros servicios en la nube. Una vez ejecutados, los archivos descargan y ejecutan un archivo de elemento del panel de control (.cpl) que llama a rundll32.exe para ejecutar una DLL maliciosa que actúa como cargador para la siguiente etapa, alojada en GitHub.
Mecanismos de evasión
Los atacantes crean un archivo de acceso directo de Windows (.url) para evadir el mensaje de protección SmartScreen empleando un archivo .cpl como parte de un mecanismo de entrega de carga útil maliciosa. Los actores de amenazas aprovechan la técnica MITRE ATT&CK T1218.002, que abusa del proceso binario del Panel de control de Windows (control.exe) para ejecutar archivos .cpl.
Conclusión
Trend Micro señala que «a pesar de haber sido parcheados, los actores de amenazas continúan encontrando formas de explotar CVE-2023-36025 y evadir las protecciones de Windows Defender SmartScreen para infectar a los usuarios con una gran cantidad de tipos de malware, incluidos ransomware y ladrones como Phemedrone Stealer».