Microsoft varoittaa, että venäläiset hakkerit kohdistavat Windows Print Spoolerin

Microsoft on antanut varoituksen uudesta työkalusta, jota Venäjään linkitetty hakkerointiryhmä käyttää hyväkseen Windows Print Spooler -ohjelmiston haavoittuvuutta. Venäläisten hakkerien ja Microsoftin välillä on ollut historiaa tätä ja tätä.

Hakkerointiryhmä, joka tunnetaan nimellä Forest Blizzard (kutsutaan myös nimellä APT28, Sednit, Sofacy ja Fancy Bear), on kohdistanut kohteensa viranomaisia, energiaa, liikennettä ja kansalaisjärjestöjä (NGOs) tiedustelutietojen keräämiseksi. Microsoft uskoo Forest Blizzardin olevan yhteydessä Venäjän tiedustelupalveluun GRU.

Uusi GooseEgg-niminen työkalu hyödyntää Windows Print Spooler -palvelun (CVE-2022-38028) haavoittuvuutta saadakseen etuoikeutetun pääsyn vaarantuneisiin järjestelmiin ja varastaakseen tunnistetietoja. Haavoittuvuuden ansiosta GooseEgg voi muokata JavaScript-tiedostoa ja suorittaa sen sitten korkeilla käyttöoikeuksilla.

Windows Print Spooler -palvelu toimii välimiehenä sovellusten ja tulostimesi välillä. Se on taustalla toimiva ohjelmisto, joka hallitsee tulostustöitä. Se pitää asiat sujuvana ohjelmien ja tulostimen välillä.

Microsoft suosittelee, että organisaatiot ryhtyvät useisiin toimenpiteisiin suojellakseen itseään, 

• Asenna tietoturvapäivitykset CVE-2022-38028 (11) ja aikaisempien tulostuksen taustatulostuksen haavoittuvuuksien (2022. ja 8) tietoturvapäivitykset.
• Harkitse Print Spooler -palvelun poistamista käytöstä toimialueen ohjaimissa (ei vaadi käyttöä).
• Ota käyttöön tunnistetietojen vahvistamissuositukset.
• Käytä Endpoint Detection and Response (EDR) -toimintoa esto-ominaisuuksilla.
• Ota käyttöön pilven kautta toimitettu suojaus virustorjuntaohjelmistolle.
• Käytä Microsoft Defender XDR -hyökkäyspinnan vähentämissääntöjä.

Microsoft Defender Antivirus tunnistaa GooseEggin nimellä HackTool:Win64/GooseEgg. Microsoft Defender for Endpoint ja Microsoft Defender XDR voivat myös tunnistaa GooseEgg-käyttöönottoihin liittyvät epäilyttävät toiminnot.

Pysymällä ajan tasalla näistä uhista ja toteuttamalla suositeltuja turvatoimia organisaatiot voivat auttaa suojautumaan Forest Blizzardin ja muiden haitallisten toimijoiden hyökkäyksiltä.

Lisää: tätä.