La semana pasada se notificó sobre una vulnerabilidad de escalada de privilegios en el sistema Windows, que sumado a un error de ejecución remota de código de Adobe Reader, permitieron a los hackers crear un exploit de día cero para propagar malware a través de un archivo PDF.
En el caso de Windows, fue lanzado un parche de seguridad la semana pasada para corregir la vulnerabilidad, mientras que el error de Adobe Reader fue solventado esta semana a través de una actualización de producto de la empresa.
El ataque conjunto basado en el archivo PDF fue descubierto por la empresa de seguridad ESET, que reveló los detalles sobre el mismo a través de una publicación en su blog el día de ayer.
El investigador de malware de ESET, Anton Cherepanov, fue el encargado de explicar el ataque, afirmando que el código propagado a través del archivo PDF se encontró en un repositorio público, sin embargo, no contenía la carga final de malware, lo que hizo más fácil su detección. En este sentido, Cherepanov reveló:
El uso de las vulnerabilidades combinadas es extremadamente poderoso, ya que permite a un hacker ejecutar código arbitrario con los privilegios más altos posibles en el objetivo vulnerable, y con la mínima interacción del usuario.
El experto afirmó que cuando el archivo PDF es abierto, inyecta código en JavaScript en Adobe Reader para explotar la vulnerabilidad crítica CVE-2018-4990 de corrupción de memoria libre doble, que representa uno de los 47 errores que existen en Reader y Acrobat que Adobe parcheó el pasado 14 de mayo a través de actualizaciones de seguridad.
Este exploit les dio la posibilidad a los hackers de leer y escribir en la memoria, ya que el error de seguridad que afecta al componente de Win32k, pudo ser secuestrado para ejecutar código arbitrario en el sistema comprometido, lo que significa que el control de los hackers sobre el ordenador fue total.
Al investigador Cherepanov se le atribuye el crédito por haber hallado la vulnerabilidad en Microsoft, y también fue reconocido por Adobe por informar sobre el error junto al investigador de Microsoft Matt Oh.