Уязвимость повышения привилегий в Windows почти год никто не замечал

Уязвимость повышения привилегий в Windows почти год никто не замечал

Уязвимость повышения привилегий в Windows почти год никто не замечал

Исследователь в области безопасности из Колумбии нашел способ получить права администратора и обеспечить устойчивость вредоноса к перезагрузке на компьютерах под управлением Windows. Эту злонамеренную схему легко реализовать и крайне сложно остановить.

Примечательно, что впервые этот способ был описан в декабре 2017 года, однако по каким-то причинам он не получил широкой огласки в средствах массовой информации, а также не был использован во вредоносных кампаниях.

Вредоносный метод открыл Себастьян Кастро, исследователь безопасности из компании CSL. Он основан на атаке одного из параметров аккаунтов пользователей Windows. Речь идет об относительном идентификаторе (Relative Identifier, RID) — уникальном порядковом числе, присваиваемом учетной записи.

RID представляет собой код, добавляемый в конец идентификатора безопасности (Security Identifier, SID). Доступны несколько кодов RID, однако основными являются 501 (для стандартного аккаунта гостя) и 500 (для аккаунтов администраторов).

Кастро пришел к выводу, что можно изменить RID, ассоциирующийся со специфическим аккаунтом, путем изменения ключей реестра, которые хранят информацию о каждой учетной записи Windows. Таким образом аккаунту можно присвоить другой RID, который предназначен для группы с более высокими привилегиями в системе.

Использовать эту уязвимость удаленно не получится, если только компьютер не открыт в Сеть без пароля. Но в том случае, если вредонос уже находится на компьютере, злоумышленник легко может воспользоваться этой дырой в безопасности.

В итоге, имея изначально права ограниченного аккаунта, тот же бэкдор сможет повысить их до SYSTEM.

Кастро отметил, что эксплуатацию этого бага очень сложно детектировать, так как используются исключительно механизмы самой системы Windows.

Эксперт не раз выступал на конференциях, объясняя суть эксплуатации этого недостатка. С одним из таких видео можно ознакомиться ниже:

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

«Эшелон» открыла онлайн-ресурс с базой уязвимостей Сканер-ВС 6/7

Разработчик средств информационной безопасности «Эшелон» запустил новый открытый ресурс — базу данных уязвимостей, которая используется в продуктах Сканер-ВС 6 и 7. На сайте собраны сведения более чем о 427 тысячах уязвимостей, база обновляется ежедневно.

Портал доступен по адресу https://vulnerabilities.etecs.ru.

Пользователи могут искать и просматривать уязвимости по идентификаторам CVE, BDU и другим стандартам.

Карточки содержат информацию о метриках CVSS и EPSS, типах дефектов по CWE, конфигурациях CPE 4.0, наличии эксплойтов и актуальных правилах детектирования. Также доступны ссылки на первоисточники и бюллетени безопасности. А настоящий момент база насчитывает более 427 тысяч записей об уязвимостях.

Сервис рассчитан на специалистов по информационной безопасности, которым важно иметь быстрый доступ к актуальной и проверенной информации об уязвимостях в используемом ПО — в том числе в российских операционных системах.

Появление открытого портала позволяет специалистам напрямую видеть, на каких данных работает Сканер-ВС, проверять актуальность информации и оценивать качество правил детектирования под разные конфигурации.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru