מיקרוסופט מזהירה שהאקרים רוסים מכוונים ל-Windows Print Spooler

מיקרוסופט פרסמה אזהרה לגבי כלי חדש המשמש קבוצת פריצה המקושרת לרוסיה כדי לנצל פגיעות בתוכנת Windows Print Spooler. הייתה היסטוריה בין האקרים רוסים למיקרוסופט עם זֶה ו זֶה.

קבוצת הפריצה, הידועה בשם Forest Blizzard (המכונה גם APT28, Sednit, Sofacy ו-Fancy Bear), פנתה לממשלה, אנרגיה, תחבורה וארגונים לא ממשלתיים (NGOs) למטרות איסוף מודיעין. מיקרוסופט מאמינה שפורסט בליזארד מקושרת לסוכנות הביון הרוסית GRU.

הכלי החדש, הנקרא GooseEgg, מנצל פגיעות בשירות Windows Print Spooler (CVE-2022-38028) כדי לקבל גישה מוסמכת למערכות שנפגעו ולגנוב אישורים. הפגיעות מאפשרת ל-GooseEgg לשנות קובץ JavaScript ואז להפעיל אותו עם הרשאות גבוהות.

שירות Windows Print Spooler פועל כמתווך בין היישומים שלך למדפסת שלך. זו תוכנה הפועלת ברקע שמנהלת עבודות הדפסה. זה שומר על פעילות חלקה בין התוכניות שלך למדפסת שלך.

מיקרוסופט ממליצה לארגונים לנקוט במספר צעדים כדי להגן על עצמם, 

• החל עדכוני אבטחה עבור CVE-2022-38028 (11 באוקטובר 2022) ופגיעויות קודמות של Print Spooler (8 ביוני ו-1 ביולי 2021).
• שקול להשבית את שירות Print Spooler בבקרי תחום (לא נדרש לתפעול).
• יישם המלצות להקשחת אישורים.
• השתמש בזיהוי ותגובה של נקודות קצה (EDR) עם יכולות חסימה.
• אפשר הגנה המועברת בענן עבור תוכנת אנטי-וירוס.
• השתמש בכללי הפחתת משטח התקפות של Microsoft Defender XDR.

Microsoft Defender Antivirus מזהה GooseEgg כ HackTool:Win64/GooseEgg. Microsoft Defender for Endpoint ו-Microsoft Defender XDR יכולים גם לזהות פעילות חשודה הקשורה לפריסות GooseEgg.

על ידי שמירה על איומים אלו ויישום אמצעי האבטחה המומלצים, ארגונים יכולים לעזור להגן על עצמם מפני התקפות של פורסט בליזארד וגורמים זדוניים אחרים.

עוד כאן.