Een zerodaylek in Windows 10 waarvoor Microsoft afgelopen dinsdag een beveiligingsupdate uitbracht is maandenlang onopgemerkt door aanvallers gebruikt. Dat stelt het securitybedrijf dat de kwetsbaarheid ontdekte en aan Microsoft rapporteerde. Via het beveiligingslek in de Windows-kernel, aangeduid als CVE-2021-1732, kan een aanvaller die al toegang tot een systeem heeft zijn rechten verhogen.

De kwetsbaarheid zou kunnen worden gecombineerd met een ander beveiligingslek dat het uitvoeren van code mogelijk maakt. Een andere mogelijkheid is dat het lek door malware wordt gebruikt. Afgelopen december ontdekte securitybedrijf DBAPPSecurity een aanval waarbij de kwetsbaarheid was aangevallen. De aanval was volgens het securitybedrijf het werk van een Advanced Persistent Threat (APT)-groep genaamd Bitter.

De waargenomen exploit werkte tegen de laatste versie van Windows10 1909 (64-bits) en bleek al in mei 2020 te zijn gecompileerd. DBAPPSecurity detecteerde een zeer beperkt aantal aanvallen waarbij de kwetsbaarheid was ingezet. Alle slachtoffers bevinden zich in China. Voordat de exploit wordt uitgevoerd vindt er eerst een controle plaats op de aanwezigheid van bepaalde antivirussoftware en de gebruikte Windows 10-versie. Daarna wordt de exploit uitgevoerd.

"Het in-the-wild exemplaar was gecompileerd in mei 2020 en door ons in december 2020 gevonden. Het wist tenminste zeven maanden te overleven", aldus het securitybedrijf. Verdere details over de waargenomen aanvallen, doelwitten en hoe de exploit precies is gebruikt zijn niet gegeven. De kwetsbaarheid werd op 29 december aan Microsoft gerapporteerd, dat afgelopen dinsdag de patch uitrolde.