Опубликован PoC-код для атаки WinReg NTLM Relay на серверы Windows

Опубликован PoC-код для атаки WinReg NTLM Relay на серверы Windows

Опубликован PoC-код для атаки WinReg NTLM Relay на серверы Windows

Эксперт, обнаруживший новый вектор атаки NTLM Relay, раскрыл детали и опубликовал PoC. Разработанный им метод использует уязвимость RPC-клиента Microsoft Remote Registry (уже пропатчена) и позволяет получить контроль над доменом Windows.

Как выяснил Стив Купчик (Stiv Kupchik) из Akamai, в службе удаленного реестра (WinReg) предусмотрен механизм отката транспортного протокола на случай отсутствия SMB. При его активации клиентское приложение переходит на использование менее надежного транспорта — TCP, SPX и т. п.; уровень защиты трафика тоже снижается.

Построив релей, провоцирующий такое переключение, злоумышленник сможет с его помощью перенаправить аутентификационные данные клиента на сервер ACDS и получить сертификат открытого ключа (PKI) для последующей аутентификации в домене. Подобная возможность позволяет в числе прочего создать нового админа в Active Directory.

 

Выявленная Купчиком уязвимость зарегистрирована как CVE-2024-43532 (повышение привилегий, 8,8 балла CVSS). Проблема актуальна для Windows Server версий с 2008 по 2022, а также Windows 10 и 11.

Соответствующие патчи Microsoft выпустила в составе октябрьских обновлений. Лишь после этого PoC-эксплойт был опубликован на GitHub.

Возможность захвата контроля над серверами Windows через атаку NTLM relay существовала и ранее. Метод PetitPotam был взят на вооружение операторами шифровальщика LockFile вскоре после обнаружения. Позднее был найден другой вектор NTLM relay — DFSCoerce.

С учетом того, что системы Windows ежедневно подвергаются 600 млн атак (внутренние данные MS), популярную ОС всегда надо держать в тонусе, без промедления применяя все выпускаемые патчи.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Ростелеком объяснил массовое отключение интернета повреждением канала

В прошедшие выходные в нескольких областях центральной России наблюдались массовые сбои в работе интернета и телевидения. Причиной стало повреждение магистрального канала «по вине третьих лиц». Первые сообщения об инциденте появились в региональных СМИ во второй половине дня 15 ноября.

Владимирский телеканал «Зебра ТВ» сообщил, что многие абоненты во Владимирской, а также соседних Ивановской, Костромской и Ярославской областях столкнулись с полной недоступностью интернета и телевидения.

Отмечалось, что ситуация особенно тяжело сказалась на жителях Владимирской области, где возможности мобильного интернета и без того сильно ограничены.

«Ярославль Онлайн» со ссылкой на местные сообщества передал о массовом отключении интернета и ТВ в Ярославле и области около 17 часов. Местная редакция «Коммерсанта» сообщила, что из-за сбоя была прервана трансляция матча КХЛ «Локомотив» — «Барыс». После второго периода эфир возобновили, но без комментариев и с существенными перебоями.

По данным РБК, проблемы затронули и другие регионы: Ямало-Ненецкий автономный округ, Республику Марий Эл, Белгородскую, Нижегородскую и Псковскую области.

«Произошла авария по вине третьих лиц. До конца дня связь будет восстановлена. Идут работы», — прокомментировали ситуацию в Ярославском филиале «Ростелекома» изданию «Ярославль Онлайн».

Однако, как уточнили в пресс-службе оператора «Зебра ТВ», ремонтные работы затянулись из-за неблагоприятных погодных условий. О полном устранении аварии «Ростелеком» заявил лишь утром следующего дня.

Напомним, инфраструктура «Ростелекома» уже сталкивалась с крупными инцидентами. 14 января произошёл масштабный сбой, когда стабильно работали только Telegram и сервисы VK, но проблема была устранена быстро. А 14 сентября авария на маршрутизаторе привела к недоступности ряда государственных сервисов на протяжении 4,5 часов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru