Een beruchte groep cybercriminelen heeft een zerodaylek in Windows gebruikt voor de installatie van een rootkit. De kwetsbaarheid werd deze maand door Microsoft verholpen, zo meldt antivirusbedrijf Avast, dat het beveiligingslek vorig jaar augustus aan Microsoft rapporteerde. De virusbestrijder stelt dat het om een actief aangevallen zerodaylek gaat. Microsoft zegt in het beveiligingsbulletin echter niet bekend te zijn met misbruik van CVE-2024-21338.

De kwetsbaarheid maakt het mogelijk voor een aanvaller die al adminrechten op een gecompromitteerd systeem heeft om kernelrechten te krijgen. Volgens Avast heeft de beruchte Lazarus Group het beveiligingslek gebruikt om de FudModule-rootkit op systemen te installeren. De Lazarus Group wordt onder andere verantwoordelijk gehouden voor de verspreiding van de WannaCry-ransomware, de hack van Sony Pictures Entertainment in 2014 en de diefstal van 81 miljoen dollar van een bank in Bangladesh in 2016. Daarnaast zou de groep honderden miljoenen euro's aan cryptovaluta bij cryptobeurzen en -bedrijven hebben gestolen.

Via de rootkit, die de groep al jaren gebruikt, kan het antivirus- en monitoringssoftware uitschakelen. Een eerdere versie van de rootkit werd in oktober 2021 door antivirusbedrijf ESET op een systeem van een organisatie in Nederland ontdekt (pdf). "Lazarus is zeer voorzichtig wanneer het de rootkit inzet, en rolt die alleen onder de juiste omstandigheden uit", aldus Avast. De virusbestrijder heeft vandaag details over de rootkit gegeven, die door middel van een nog onbekende remote access trojan werd geïnstalleerd. Details over deze trojan en gebruikte infectievector worden binnenkort gepubliceerd.