CVE-2019-0797漏洞：Windows操作系统中的新零日在攻击中被利用

前言

在2019年2月，卡巴实验室的自动漏洞防护（AEP）系统检测到尝试利用Microsoft Windows操作系统中的漏洞。对此事件的进一步分析发现win32k.sys中存在零日漏洞。卡巴实验室于2019年2月22日向Microsoft报告确认了该漏洞分配为CVE-2019-0797。微软刚刚发布了一个补丁，称卡巴斯基实验室研究人员Vasiliy Berdnikov和Boris Larin的发现：

这是卡巴斯基实验室在Windows中发现的第四个连续被利用的本地权限提升漏洞。例如CVE-2018-8589，卡巴实验室相信这一漏洞被一些威胁组织使用，包括但不限于FruityArmor和SandCat。
FruityArmor曾使用过0day，但SandCat是最近才发现的新APT。除了CVE-2019-0797和CHAINSHOT之外，SandCat还使用FinFisher/FinSpy框架。

卡巴斯基实验室产品通过以下技术主动检测到此漏洞：

1.端点产品的行为检测引擎和自动漏洞预防;
2.卡巴斯基反目标攻击平台（KATA）的高级沙盒和反恶意软件引擎。

卡巴斯基实验室判断此次攻击和相关攻击中使用的工件是：

HEUR：Exploit.Win32.Generic
HEUR：Trojan.Win32.Generic
PDM：Exploit.Win32.Generic

回到顶部

技术细节 - CVE-2019-0797

CVE-2019-07