“Kerentanan spoofing MSHTML Windows” yang baru saja diperbaiki yang dilacak di bawah CVE-2024-43461 kini ditandai sebagai sebelumnya dieksploitasi setelah digunakan dalam serangan oleh kelompok peretas APT Void Banshee.
Ketika pertama kali diungkapkan sebagai bagian dari Patch Selasa September 2024Microsoft tidak menandai kerentanan tersebut sebagai yang telah dieksploitasi sebelumnya. Namun, pada hari Jumat, Microsoft memperbarui CVE-2024-43461 penasehat untuk menunjukkan bahwa hal itu telah dieksploitasi dalam serangan sebelum diperbaiki.
Penemuan cacat ini dikaitkan dengan Petrus GirnusPeneliti Ancaman Senior di Zero Day Trend Micro, yang mengatakan kepada BleepingComputer bahwa kelemahan CVE-2024-43461 dieksploitasi dalam serangan zero-day oleh Void Banshee untuk memasang malware pencuri informasi.
Void Banshee adalah kelompok peretas APT pertama kali dilacak oleh Trend Micro yang menargetkan organisasi di Amerika Utara, Eropa, dan Asia Tenggara untuk mencuri data dan keuntungan finansial.
CVE-2024-43461 hari nol
Pada bulan Juli, Check Point Research dan Trend Micro melaporkan serangan yang sama yang mengeksploitasi zero-day Windows untuk menginfeksi perangkat dengan pencuri info Atlantidadigunakan untuk mencuri kata sandi, kuki otentikasi, dan dompet mata uang kripto dari perangkat yang terinfeksi.
Serangan tersebut memanfaatkan zero-day yang dilacak sebagai CVE-2024-38112 (diperbaiki pada bulan Juli) dan CVE-2024-43461 (diperbaiki bulan ini) sebagai bagian dari rantai serangan.
Penemuan zero-day CVE-2024-38112 dikaitkan dengan peneliti Check Point Haifei Li, yang mengatakan bahwa malware itu digunakan untuk memaksa Windows membuka situs web berbahaya di Internet Explorer dan bukan Microsoft Edge saat meluncurkan file pintasan yang dibuat khusus.
“Secara khusus, para penyerang menggunakan file Windows Internet Shortcut khusus (nama ekstensi .url), yang ketika diklik, akan memanggil Internet Explorer (IE) yang sudah tidak digunakan lagi untuk mengunjungi URL yang dikendalikan penyerang,” jelas Li dalam sebuah pernyataan. Laporan Penelitian Check Point bulan Juli.
URL ini digunakan untuk mengunduh berkas HTA berbahaya dan meminta pengguna untuk membukanya. Saat dibuka, skrip akan berjalan untuk memasang pencuri informasi Atlantida.
File HTA memanfaatkan zero-day berbeda yang dilacak sebagai CVE-2024-43461 untuk menyembunyikan ekstensi file HTA dan membuat file tersebut muncul sebagai PDF saat Windows meminta pengguna untuk membukanya, seperti yang ditunjukkan di bawah ini.
Peneliti ZDI Peter Girnus mengatakan kepada BleepingComputer bahwa kelemahan CVE-2024-43461 juga digunakan dalam Serangan Banshee Void untuk membuat sebuah Kondisi CWE-451 melalui nama file HTA yang menyertakan 26 karakter spasi braille yang dikodekan (%E2%A0%80) untuk menyembunyikan ekstensi .hta.
Seperti yang dapat Anda lihat di bawah, nama file dimulai sebagai file PDF tetapi mencakup dua puluh enam karakter spasi braille yang dikodekan berulang (%E2%A0%80) diikuti dengan ekstensi terakhir ‘.hta’.
Books_A0UJKO.pdf%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80%E2%A0%80.hta
Ketika Windows membuka berkas ini, karakter spasi braille mendorong ekstensi HTA keluar dari antarmuka pengguna, hanya dibatasi oleh ‘…’ pada perintah Windows, seperti yang terlihat di bawah. Hal ini menyebabkan file HTA muncul sebagai file PDF, sehingga lebih mungkin untuk dibuka.
Sumber: Trend Micro
Setelah menginstal pembaruan keamanan untuk CVE-2024-43461, Girnus mengatakan spasi tidak dihapus, tetapi Windows sekarang menunjukkan yang sebenarnya .hta ekstensi untuk file dalam perintah.
Sumber: Peter Girnus
Sayangnya, perbaikan ini tidak sempurna, karena spasi yang disertakan kemungkinan masih akan membingungkan orang dan membuat mereka mengira berkas tersebut adalah berkas PDF, bukan berkas HTA.
Microsoft memperbaiki tiga zero-day lain yang dieksploitasi secara aktif pada Patch Tuesday September, termasuk CVE-2024-38217, yang dieksploitasi di Serangan menginjak-injak LNK untuk melewati fitur keamanan Mark of the Web.
