«Aikido»-sårbarhet gjør EDR om til skadelig programvare for fjerning av data

7. desember 2022: En sikkerhetsforsker hos SafeBreach avslørte en sårbarhet kalt «Aikido», med påfølgende (12. desember) konseptutprøvingskode (POC) som potensielt kan gjøre EDR-agenter som kjører på Microsoft Windows-endepunkter om til ondsinnede dataslettelser.

12. desember 2022 : CyberHoot har fått kjennskap til en kritisk sårbarhet i ConnectWise og SonicWall Capture Client (og andre EDR-produkter oppført nedenfor). MSP-er oppfordres til å iverksette tiltak for å oppdatere systemene sine så snart som mulig. Det har dukket opp bevis på utnyttelser som har ført til vilkårlig kodekjøring med utvidede administratorrettigheter.

Hva er Wiper-skadevare?

«Innen datasikkerhet er en «wisk» en klasse skadelig programvare som er ment å slette (derav navnet) harddisken til datamaskinen den infiserer, og dermed slette data og programmer på en ondsinnet måte.» Wikipedia

Varslingsnivå for håndtering av sårbarhetsvarsler:

Kritisk varsel: Umiddelbar handling kreves

Berørte systemer:

Følgende programvareløsninger ble identifisert og testet av ConnectWise. Ytterligere systemer kan være i faresonen. Sjekk leverandørens veiledningssider for å bekrefte eksponeringer og oppdater så snart som mulig.

• Microsoft Windows med SentinelOne-agenter som kjører alle versjoner før 22.2.4.558 er sårbare.
• SentinelOne-agenter brukes i følgende ConnectWise-produkter: ConnectWise SentinelOne Control, ConnectWise SentinelOne Complete, ConnectWise MDR med SentinelOne og ConnectWise MDR Premium med SentinelOne.
• Denne utnyttelsen ble også testet mot Forsvarer, forsvarer for endepunkt, TrendMicro Apex One, Avast Antivirus og AVG Antivirus og ble funnet å være sårbar.

Begrensning

Connect

1. Installer SentinelOne-agentversjon 22.2 SP1 (22.2.4.558) på Windows-agentendepunktene dine.
2. Start systemet på nytt hvis SentinelOne Console viser «omstart venter».

Microsofts motor for beskyttelse mot skadelig programvare:

1. Installer versjon 1.1.19700.2 av Defender-programvaren og start datamaskinen på nytt hvis du blir bedt om det.

TrendMicro Apex One:

1. Installer hurtigreparasjon 23573 og patch_b11136 for programvaren, og start datamaskinen på nytt hvis du blir bedt om det.

Avast og AVG Antivirus:

1. Installer versjon 22.10 av antivirusprogramvaren deres og start datamaskinen på nytt hvis du blir bedt om det.

Vendor-advarsler:

ConnectWise-veiledning : https://www.connectwise.com/company/trust/advisories Microsoft Defender-veiledning : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37971 Avast- og AVG-veiledning : https://nvd.nist.gov/vuln/detail/CVE-2022-4173 Trend Micro-veiledning : https://success.trendmicro.com/dcx/s/solution/000291830?language=en_US

Tilleggsressurser:

SonicWall Capture-klientveiledning : https://www.sonicwall.com/support/knowledge-base/capture-client-differences-between-sonicwall-managed-and-self-managed-versions/181114002946980 / Definisjon av Time-of-Check og Time-of-Use: https://cwe.mitre.org/data/definitions/367.html SonicWall Aikido-veiledning: https://www.sonicwall.com/support/knowledge-base/aikido-exploit-and-its-impact-on-sonicwall-capture-client/221213114338960/ BlackHat SafeBreach-kunngjøring: Aikido-sårbarhet https://i.blackhat.com/EU-22/Wednesday-Briefings/EU-22-Yair-Aikido-Turning-EDRs-to-Malicious-Wipers.pdf

Sikre bedriften din med CyberHoot i dag!!!

Registrer deg nå