Специалисты компании ESET сообщили, что исправленная в этом месяце уязвимость нулевого дня в подсистеме ядра Windows Win32 использовалась злоумышленниками в атаках с марта 2023 года.
Уязвимость получила идентификатор CVE-2025-24983 (7 баллов по шкале CVSS) и связана с повышением привилегий в подсистеме ядра Windows Win32. По информации Microsoft, эта use-after-free проблема позволяет локальным злоумышленникам получить привилегии SYSTEM, спровоцировав состояние гонки и успешно его эксплуатировав. Баг был устранен в рамках мартовского «вторника обновлений» ранее на этой неделе.
Как сообщают представители ESET, обнаружившие эту уязвимость, 0-day эксплоит для CVE-2025-24983 был впервые замечен еще в марте 2023 года в системах, скомпрометированных малварью PipeMagic.
Эксплоит был нацелен только на старые версии Windows (Windows Server 2012 R2 и Windows 8.1), которые Microsoft уже не поддерживает. Однако уязвимость затрагивает и более новые версии Windows, включая поддерживаемые Windows Server 2016 и Windows 10 (Windows 10 build 1809 и более ранних версий).
«Эта use-after-free уязвимость связана с неправильным использованием памяти в процессе работы ПО. Это может привести к сбоям в работе ПО, выполнению вредоносного кода (в том числе удаленно), повышению привилегий или повреждению данных, — рассказывают в ESET. — Эксплоит был развернут через бэкдор PipeMagic, способный похищать данные и обеспечивать удаленный доступ к машине».
Упомянутая малварь PipeMagic была обнаружена экспертами «Лаборатории Касперского» еще в 2022 году. Вредонос способен собирать конфиденциальные данные, предоставлять злоумышленникам полный удаленный доступ к зараженным устройствам и развертывать дополнительные полезные нагрузки для бокового перемещения по сетям жертв.
В 2023 году специалисты «Лаборатории Касперского» наблюдали применение PipeMagic в атаках вымогателя Nokoyawa, когда злоумышленники использовали другую уязвимость нулевого дня в Windows, связанную с повышением привилегий в драйвере файловой системы Common Log (CVE-2023-28252).