На конференции Black Hat USA 2016 исследователи Microsoft продемонстрировали, что уязвимость в Windows, которую, как ранее считали эксперты, можно проэксплуатировать только при наличии физического доступа, также имеет опасность удаленной эксплуатации.
В прошлом году на конференции Black Hat в Европе, исследователь Ян Хакен (Ian Haken) рассказал об уязвимости, позволяющей обойти локальную проверку подлинности Windows и отключить полное шифрование диска.
Уязвимость, получившая название , по словам Microsoft, была вызвана неспособностью протокола Kerberos проверить изменение пароля при входе пользователя. Казалось, чт овендор устранил этот недостаток в ноябре 2015 года, однако в феврале 2016 эксперты Набиль Ахмед (Nabeel Ahmed) и Том Гилис (Tom Gilis) обнаружили, что уязвимость до конца не устранена ().
Бюллетени безопасности, выпущенные Microsoft были отмечены только как «важные», потому что для эксплуатации уязвимости необходим был физический доступ. Атаки, требующие физического доступа к системе называют «evil maid».
Несмотря на то, что эти уязвимости являются довольно опасными, многие организации, скорее всего, пренебрегли установкой патчей, так как возможность атаки подразумевает наличие физического доступа к компьютеру. Хакеры, к слову, тоже проигнорировали эти бреши по той же причине.
Тем не менее, эксперты Microsoft Chaim Hoch и Tal Be'ery нашли способ воспользоваться этими уязвимостями удаленно и описали этот метод в четверг на конференции по безопасности Black Hat в Лас-Вегасе.
В атаке, описанной в прошлом году Хакеном, хакер может обойти проверку подлинности Windows, установив новый поддельный контроллер домена с тем же именем, что и компьютер жертвы. Имя может быть легко получено из экрана блокировки.
Затем злоумышленник должен создать четную запись пользователя с именем жертвы (эту информацию также можно получить из экрана блокировки). А пароль пользователя должен быть сконфигурирован как истекший.
В следующей фазе атаки, хакер физически получает доступ к системе, соединяет ее с поддельным контроллером домена и пытается войти в созданную учетную запись. Так как пароль истек, злоумышленнику будет предложено изменить его, а новый пароль добавится в кэшированные учетные данные локального компьютера.
Наконец, злоумышленник отключает устройство от поддельного контроллера домена и входит в систему с паролем, который он установил. Вход будет успешным, потому что компьютер не подключен к контроллеру домена и пароль сравнивается с кэшированной версией.
В случае удаленной атаки, злоумышленник использует такие инструменты как Nmap, чтобы найти в сети компьютеры, с запущенным протоколом удаленного рабочего стола (RDP). Злоумышленник также должен следить за активностью входов пользователей, чтобы вычислить уязвимые для атаки компьютеры.
После того, как атакуемый компьютер подключится к подлинному контроллеру домена, атака больше не сработает, так как кэшированные учетные данные не больше не используются. Для того чтобы сохранить доступ к компьютеру даже после того, как он возвращается к исходному контроллеру, киберпреступники могут получить пароль жертвы из памяти, используя такие инструменты, как Mimikatz.
Hoch и Tal Be'ery опубликовали видео, чтобы показать, как работает удаленная атака.
Исследователи полагают, что нет ничего трудного в проведении такой атаки. Одним из ее преимуществ является то, что она не оставляет никаких следов на целевом компьютере, особенно если хакер получает данные жертвы из памяти и использует их, чтобы войти.
Hoch и Tal Be'ery также отметили, что организациям, которые пренебрегли установкой патчей стоит пересмотреть свою точку зрения на этот вопрос.
В 2024 году российские компании, госструктуры и обычные пользователи вложили в решения и услуги по информационной безопасности 339 миллиардов рублей. Это на 27% больше, чем годом ранее, говорится в исследовании компании «Стрим Консалтинг».
На «железо» пришлось 28% всех затрат, на софт — 23%. Также заметно подрос рынок ИБ-сервисов и техподдержки — сразу на 29%.
Одним из самых активных направлений стали межсетевые экраны — как обычные (FW), так и «продвинутые» (NGFW). В сегменте аппаратных решений траты на NGFW выросли на 37%, на классические FW — на 26%.
По данным исследования, лидером среди производителей аппаратных решений по ИБ стала компания «Код Безопасности».
«Сетевая безопасность — это по-прежнему самое крупное направление на рынке ИБ, и межсетевые экраны играют в нём ключевую роль: это многофункциональные устройства, которые позволяют отбиваться сразу от нескольких видов угроз», — говорит Павел Коростелев, руководитель отдела продвижения продуктов в «Коде Безопасности».
Он также отметил, что спрос на такие решения в ближайшие годы может немного «остыть» — многие организации уже успели перейти на отечественные аналоги. Но в целом до 2029 года расходы на NGFW будут расти в среднем на 14% в год, а на обычные FW — на 8%. В целом, по его словам, расходы на аппаратные продукты будут увеличиваться примерно на 14% ежегодно.
Эксперты связывают рост рынка с тремя основными факторами: активным импортозамещением, ростом числа киберугроз и усилением регулирования в сфере ИБ.
Основными потребителями решений по безопасности остаются крупные компании с выручкой от 2 до 25 млрд рублей и выше, а также федеральные и региональные госорганы.
Если текущие темпы сохранятся, то к 2029 году объём российского рынка информационной безопасности может достигнуть 743 миллиардов рублей.
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
