CVE-2023-38146 Detecção: Bug RCE “ThemeBleed” do Windows Apresenta Riscos Crescentes com o Lançamento do Exploit PoC
Índice:
O novo bug de segurança dos Temas do Microsoft Windows, rastreado como CVE-2023-38146, que permite que atacantes realizem RCE, surge na arena de ameaças cibernéticas. O exploit proof-of-concept (PoC) para essa vulnerabilidade, também conhecido como “ThemeBleed”, foi recentemente liberado no GitHub, representando uma ameaça para instâncias do Windows potencialmente infectadas e prendendo a atenção dos defensores.
Detecção do CVE-2023-38146
Com um exploit PoC publicamente liberado na web, os adversários voltam sua atenção para armar a vulnerabilidade ThemeBleed no Windows, permitindo a execução remota de código nas instâncias afetadas. Para detectar atividades suspeitas associadas a tentativas de exploração do CVE-2023-38146 a tempo, a Plataforma SOC Prime agrega um conjunto de regras Sigma relevantes. Todas as detecções são compatíveis com os principais formatos de tecnologia SIEM, EDR, XDR e Data Lake e estão alinhadas com a estrutura MITRE ATT&CK® para agilizar os procedimentos de caça a ameaças.
Para explorar a lista completa de regras curadas e facilitar a imersão detalhada na ameaça CVE-2023-28146, clique no botão Explorar Detecções abaixo. Profissionais de segurança podem acessar um contexto amplo de ameaças cibernéticas acompanhado de referências ATT&CK e links CTI, obtendo metadados mais perspicazes que atendem às necessidades de segurança atuais e impulsionam a investigação de ameaças.
Análise do CVE-2023-38146
A vulnerabilidade recentemente descoberta nos Temas do Windows identificada como CVE-2023-38146, também conhecido como ThemeBleed, com uma alta pontuação CVSS alcançando 8.8, pode levar à execução arbitrária de código. Com o exploit PoC do ThemeBleed disponível publicamente no GitHub, a falha requer atenção imediata para identificar a ameaça a tempo. publicly available on GitHub, the flaw requires immediate attention to timely identify the threat.
Em 12 de setembro de 2023, a Microsoft cobriu os detalhes das potenciais tentativas de exploração do CVE-2023-38146. A cadeia de infecção é desencadeada pelo carregamento de um arquivo THEME armado em um sistema comprometido com acesso a um compartilhamento SMB controlado pelo atacante.
O pesquisador Gabe Kirkpatrick, que foi o primeiro a reportar o ThemeBleed e o desenvolvedor do código PoC, cobriu os detalhes do ataque em profundidade. Tirar vantagem do número de versão “999” cria uma lacuna de tempo significativa no processo de verificação da assinatura DLL e de carregamento da biblioteca dentro da rotina de manipulação do arquivo MSSTYLES, o que pode causar o surgimento de uma condição de corrida. Além disso, aplicando o arquivo MSSTYLES especificamente gerado, os adversários podem explorar uma janela de corrida para aplicar DLLs maliciosas em vez de uma verificada, o que lhes permite executar código arbitrário no sistema impactado. Além disso, o pesquisador acrescenta que baixar um arquivo de tema do Windows malicioso da web ativa o aviso ‘marca da web’, que pode notificar o usuário sobre a ameaça potencial. No entanto, os adversários podem contornar este alerta ao encapsular o tema em um arquivo de arquivamento THEMEPACK.
A Microsoft abordou atualizações de segurança para o CVE-2023-38146 na recente Patch Tuesday de setembro de 2023 removendo a funcionalidade “versão 999”. No entanto, Kirkpatrick aponta que a condição de corrida fundamental ainda existe, representando riscos potenciais para usuários alvos. Além disso, a ausência de avisos de marca-da-web para arquivos THEMEPACK ainda precisa ser abordada para evitar que adversários contornem medidas de proteção de segurança.
Para mitigar a ameaça, os defensores recomendam a aplicação do pack de atualizações de segurança mais recente da Microsoft que aborda o CVE-2023-38146 junto com 50+ outros bugs, removendo a funcionalidade “versão 999”, bem como prevenindo o carregamento de recursos a partir de compartilhamentos remotos dentro de arquivos de tema do Windows.
Navegue pelo SOC Prime para detectar proativamente tentativas de exploração de CVE e seja o primeiro a saber sobre as últimas TTPs usadas por adversários em campo. Explore inteligência personalizada e mergulhe no contexto completo da ameaça com descrição do CVE, exploit PoC, referências de mídia e links de mitigação para estar sempre à frente em sua pesquisa de ameaças.
