PrintNightmare lebt dank Ransomware-Angreifern weiter
JARIRIYAWAT / Shutterstock.com
Trotz der zahlreichen Versuche von Microsoft, PrintNightmare erfolgreich zu patchen, ist es immer noch nicht vorbei. Jetzt wurde eine weitere Schwachstelle im PrintNightmare-Druckspooler von Windows 10 entdeckt, die Ransomware – Angreifer anzieht, die nach einem einfachen Zugriff auf Systemrechte suchen.
Microsoft hat im Juli und August mehrere Patches veröffentlicht, um die Schwachstelle zu beheben, und den Prozess angepasst, mit dem Benutzer neue Druckertreiber installieren können. Forscher fanden jedoch immer noch eine Problemumgehung, um einen Angriff über eine neuere Schwachstelle im Print Spooler mit dem Namen CVE-2021-36958 zu starten.
Aus einem Beitrag im Microsoft Security Response Center beschreibt Microsoft die Sicherheitsanfälligkeit: „Eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung besteht, wenn der Windows-Druckspoolerdienst privilegierte Dateioperationen nicht ordnungsgemäß ausführt. Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, kann beliebigen Code mit SYSTEM-Berechtigungen ausführen. Ein Angreifer könnte dann Programme installieren; Daten anzeigen, ändern oder löschen; oder erstellen Sie neue Konten mit vollen Benutzerrechten."
Microsoft listet auch die Problemumgehung für die Schwachstelle als „Beenden und Deaktivieren des Druckspooler-Dienstes” auf. Der Angreifer benötigt Administratorrechte, um die erforderlichen Druckertreiber zu installieren; Wenn jedoch bereits ein Treiber installiert ist, sind solche Berechtigungen nicht erforderlich, um einen Drucker anzuschließen. Darüber hinaus müssen keine Treiber auf Clients installiert werden, sodass die Schwachstelle in allen Fällen anfällig bleibt, in denen ein Benutzer eine Verbindung zu einem Remote-Drucker herstellt.
Laut Bleeping Computer nutzen Ransomware-Angreifer die Exploits natürlich voll aus. Magniber, eine Ransomware-Gruppe, wurde kürzlich von CrowdStrike gemeldet, als sie bei dem Versuch entdeckt wurde, die ungepatchten Schwachstellen gegen südkoreanische Opfer auszunutzen.
Es gibt noch kein Wort – von Microsoft oder anderswo – darüber, ob die PrintNightmare-Schwachstelle überhaupt in der Hand ist. Tatsächlich schätzt CrowdStrike, „dass die PrintNightmare-Schwachstelle in Verbindung mit dem Einsatz von Ransomware wahrscheinlich weiterhin von anderen Bedrohungsakteuren ausgenutzt wird”.
über die Windows-Zentrale