Gli attori malevoli hanno recentemente sfruttato una vulnerabilità di sicurezza nel driver BioNTdrv.sys di Paragon Partition Manager, utilizzandola come punto di ingresso per attacchi ransomware. Questa vulnerabilità zero-day, identificata come CVE-2025-0289, fa parte di un insieme di cinque falle scoperte da Microsoft e segnalate dal CERT Coordination Center (CERT/CC).
Le vulnerabilità includono:
- Mappature arbitrarie della memoria del kernel
- Scritture arbitrarie nella memoria del kernel
- Dereferenziazioni di puntatori nulli
- Accessi insicuri alle risorse del kernel
- Spostamenti arbitrari della memoria
Queste falle possono essere sfruttate per eseguire codice arbitrario o elevare i privilegi di accesso. Un aspetto critico di questa vulnerabilità è che il driver BioNTdrv.sys è firmato da Microsoft, il che potrebbe facilitare attacchi Bring Your Own Vulnerable Driver (BYOVD) su sistemi dove il driver non è installato, consentendo agli attori malevoli di ottenere privilegi elevati ed eseguire codice dannoso.
Le versioni del driver affette:
- 1.3.0 e 1.5.1 presentano diverse vulnerabilità specifiche.
La CVE-2025-0285 riguarda una mappatura arbitraria della memoria del kernel in cui gli attaccanti possono eseguire l'elevazione dei privilegi. La CVE-2025-0286 è una scrittura arbitraria nella memoria del kernel che consente l'esecuzione di codice arbitrario. La CVE-2025-0287 è una dereferenziazione di un puntatore nullo che permette l'esecuzione di codice nel kernel. La CVE-2025-0288 coinvolge un movimento arbitrario della memoria del kernel, mentre la CVE-2025-0289 riguarda un accesso insicuro alle risorse del kernel.
Paragon Software ha affrontato queste vulnerabilità con il rilascio della versione 2.0.0 del driver, aggiungendo la versione vulnerabile alla lista di blocco dei driver di Microsoft. Questa azione è stata presa poco dopo che Check Point ha rivelato dettagli su una campagna malware su larga scala che utilizzava un altro driver vulnerabile di Windows per aggirare la rilevazione e distribuire malware Gh0st RAT.
Queste vulnerabilità evidenziano l'importanza di mantenere aggiornati i driver e adottare misure di sicurezza proattive per proteggere i sistemi da potenziali exploit. Le aziende e gli utenti sono invitati a verificare se i loro sistemi utilizzano versioni vulnerabili del driver e ad applicare prontamente le patch di sicurezza disponibili per mitigare i rischi associati.
