In aprile 8, 2025, Microsoft ha rilasciato i suoi aggiornamenti di sicurezza mensili, affrontando un totale di 121 vulnerabilità in vari prodotti.
Tra questi, CVE-2025-29824, un vulnerabilità zero-day nel file system di registro comune di Windows (CLFS) Autista, è stato attivamente sfruttato negli attacchi ransomware.
Panoramica CVE-2025-29824
CVE-2025-29824 è un'elevazione di privilegio (EoP) vulnerabilità nel driver CLFS, un componente responsabile della gestione dei registri degli eventi di sistema e delle applicazioni. Questa falla consente agli aggressori che hanno già ottenuto l'accesso iniziale a un sistema di aumentare i propri privilegi al livello di SISTEMA, ottenendo così il pieno controllo sulla macchina compromessa.
La vulnerabilità deriva da una condizione di utilizzo dopo la liberazione nel driver CLFS, che può essere sfruttato per eseguire codice arbitrario con privilegi elevati. È interessante notare che questa è la sesta vulnerabilità EoP nel componente CLFS sfruttata in natura da quando 2022, mostrando un bersaglio ricorrente per gli aggressori.
Sfruttamento attivo e distribuzione di ransomware
Microsoft ha osservato lo sfruttamento attivo di CVE-2025-29824 nelle campagne ransomware. Il Centro di intelligence sulle minacce di Microsoft (MTIC) ha identificato che la vulnerabilità è stata sfruttata da un gruppo di minaccia, designato come Tempesta-2460, per distribuire il ransomware noto come PipeMagic. Le regioni colpite includono gli Stati Uniti, Spagna, Venezuela, e Arabia Saudita.
Disponibilità delle patch e raccomandazioni
Microsoft ha rilasciato patch per la maggior parte dei sistemi interessati nell'ambito del programma di aggiornamento di aprile 2025 Aggiornamenti del Patch Tuesday. Tuttavia, aggiornamenti per Windows 10 (sia sistemi a 32 bit che basati su x64) sono in attesa di rilascio. Microsoft ha dichiarato che questi aggiornamenti saranno resi disponibili il prima possibile e ne darà comunicazione ai clienti..
Organizzazioni che utilizzano Windows 10 dovrebbe attuare le seguenti misure:
- Sistemi di monitoraggio: Utilizzare Endpoint Detection and Response (EDR) strumenti per monitorare attività insolite relative al driver CLFS.
- Limitare i privilegi: Limitare i privilegi degli utenti al minimo necessario per ridurre il potenziale impatto dello sfruttamento.
- Segmentazione della rete: Segmentare le reti per impedire il movimento laterale degli aggressori.
- Backup regolari: Assicurarsi che i dati critici vengano sottoposti a backup regolarmente e che i backup vengano archiviati in modo sicuro offline.
Sebbene Microsoft abbia rilasciato correzioni per la maggior parte dei sistemi supportati, organizzazioni che si affidano alle versioni interessate di Windows 10 dovrebbe essere cauto. Monitorare attentamente i canali di aggiornamento e gli avvisi di sicurezza di Microsoft per il rilascio di patch in sospeso.
Nel frattempo, I team IT dovrebbero rafforzare le loro strategie di difesa implementando controlli compensativi, come la limitazione dei privilegi amministrativi, miglioramento delle capacità di rilevamento degli endpoint, e isolando i sistemi ad alto rischio. In aggiunta, la formazione sulla consapevolezza degli utenti in merito al phishing e ai download dannosi può aiutare a prevenire l'accesso iniziale che potrebbe portare all'escalation dei privilegi tramite questa vulnerabilità.
Essere informati e preparati garantirà che quando il set completo di patch sarà disponibile, può essere implementato rapidamente ed efficacemente, chiudendo la finestra di opportunità per gli aggressori che sfruttano questa falla zero-day.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: