Kwetsbaarheid van "Aikido" verandert EDR in Wiper-malware

7 december 2022: Een beveiligingsonderzoeker van SafeBreach heeft een kwetsbaarheid met de naam "Aikido" onthuld, met bijbehorende (12 december) proof-of-concept (POC) exploitcode die EDR-agents die op Microsoft Windows-eindpunten draaien mogelijk kan veranderen in kwaadaardige data wipers.

12 december 2022 : CyberHoot heeft een kritieke kwetsbaarheid ontdekt in ConnectWise en SonicWall Capture Client (en andere EDR-producten die hieronder worden vermeld). MSP's worden dringend verzocht om onmiddellijk maatregelen te nemen en hun systemen zo snel mogelijk te patchen. Er zijn aanwijzingen opgedoken van exploits die in de praktijk leiden tot het uitvoeren van willekeurige code met verhoogde beheerdersrechten.

Wat is Wiper-malware?

"In de computerbeveiliging is een wiper een type malware dat bedoeld is om de harde schijf van de geïnfecteerde computer te wissen (vandaar de naam), waarbij opzettelijk gegevens en programma's worden verwijderd." (Wikipedia)

Waarschuwingsniveau van het proces voor het beheer van kwetsbaarheidswaarschuwingen:

Kritieke waarschuwing: onmiddellijke actie vereist

Beïnvloede systemen:

De volgende softwareoplossingen zijn geïdentificeerd en getest door ConnectWise. Andere systemen lopen mogelijk risico. Raadpleeg de adviespagina's van uw leverancier om risico's te bevestigen en voer zo snel mogelijk een patch uit.

• Microsoft Windows met SentinelOne-agents waarop versies ouder dan 22.2.4.558 worden uitgevoerd, zijn kwetsbaar.
• SentinelOne-agents worden gebruikt in de volgende ConnectWise-producten: ConnectWise SentinelOne Control, ConnectWise SentinelOne Complete, ConnectWise MDR met SentinelOne en ConnectWise MDR Premium met SentinelOne.
• Deze exploit werd ook getest tegen Defender, Defender voor Eindpunt, TrendMicro Apex One, Avast Antivirus en AVG Antivirus en bleek kwetsbaar.

Risicovermindering

ConnectWise

1. Installeer SentinelOne-agentversie 22.2 SP1 (22.2.4.558) op uw Windows-agenteindpunten.
2. Start uw systeem opnieuw op als SentinelOne Console de melding “opnieuw opstarten in behandeling” geeft.

Microsoft Malware Protection Engine:

1. Installeer versie 1.1.19700.2 van de Defender-software en start het systeem opnieuw op als u daarom wordt gevraagd.

TrendMicro Apex One:

1. Installeer Hotfix 23573 en Patch_b11136 van hun software en start het systeem opnieuw op als daarom wordt gevraagd.

Avast en AVG Antivirus:

1. Installeer versie 22.10 van uw antivirussoftware en start uw computer opnieuw op als u daarom wordt gevraagd.

Verkopersadviezen:

ConnectWise-waarschuwing : https://www.connectwise.com/company/trust/advisories Microsoft Defender-waarschuwing : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37971 Avast en AVG-waarschuwing : https://nvd.nist.gov/vuln/detail/CVE-2022-4173 Trend Micro-waarschuwing : https://success.trendmicro.com/dcx/s/solution/000291830?language=en_US

Aanvullende bronnen:

SonicWall Capture Client-advies : https://www.sonicwall.com/support/knowledge-base/capture-client-differences-between-sonicwall-managed-and-self-managed-versions/181114002946980 / Definitie van Time-of-Check en Time-of-Use: https://cwe.mitre.org/data/definitions/367.html SonicWall Aikido-advies: https://www.sonicwall.com/support/knowledge-base/aikido-exploit-and-its-impact-on-sonicwall-capture-client/221213114338960/ BlackHat SafeBreach-aankondiging: Aikido-kwetsbaarheid https://i.blackhat.com/EU-22/Wednesday-Briefings/EU-22-Yair-Aikido-Turning-EDRs-to-Malicious-Wipers.pdf

Beveilig uw bedrijf vandaag nog met CyberHoot!!!

Meld u aan