Опасная уязвимость Windows UAC позволяет повысить права в системе

Опасная уязвимость Windows UAC позволяет повысить права в системе

Опасная уязвимость Windows UAC позволяет повысить права в системе

Исследователи в области кибербезопасности раскрыли детали крайне опасной уязвимости в компоненте Windows UAC (User Account Control, контроль учётных записей пользователей). В случае успешной эксплуатации атакующий может повысить свои права в системе, установить программы, а также просматривать, модифицировать и удалять данные.

Для тех, кто не знает: UAC представляет собой защитную функцию Windows, оберегающую операционную систему от несанкционированных изменений. Таким образом, любая попытка установки программы или драйверов вызовет диалоговое окно, в котором пользователь должен подтвердить вносимые в ОС изменения.

Однако злоумышленник, взаимодействуя с пользовательским интерфейсом, может использовать баг для запуска браузера с самыми высокими правами в системе. Другими словами, атакующий сможет загрузить любой код или совершить другие злонамеренные действия.

«Брешь позволяет локальным злоумышленникам повысить свои права в уязвимой системе Windows. Чтобы иметь возможность использовать баг, атакующие сначала должны получить доступ к десктопу в качестве пользователя с обычными правами», — пишут специалисты Zero Day Initiative (ZDI), проанализировавшие проблему безопасности.

Сам процесс эксплуатации должен выглядеть приблизительно так: киберпреступник первым делом загружает исполняемый файл, подписанный Microsoft, с собственного вредоносного сайта. Далее следует попытка запуска файла от имени администратора, что, конечно же, вызовет диалог UAC.

После этого атакующий может нажать кнопку «Показать детали» в окне UAC и увидеть специальный идентификатор объекта (OID).

«Задача OID не до конца понятна, так как Microsoft нигде толком не описывает назначение этого идентификатора. Судя по всему, диалог парсит значение OID. Если там обнаруживаются валидные и корректно сформированные данные, система подставит их в поле "Выпущен кем" в виде гиперссылки», — объясняют исследователи.

На деле это значит, что злоумышленник сможет кликнуть гиперссылку и запустить браузер с правами NT AUTHORITY\SYSTEM. Затем открывается возможность для установки вредоносных программ, выполнения кода и прочих действий.

Представители ZDI продемонстрировали наличие проблемы на опубликованном видео, которое мы приводим ниже:

Telegram уличили в бездействии вокруг китайского крипторынка на $21 млрд

Telegram снова критикуют за то, что платформа продолжает обслуживать Xinbi Guarantee — крупный китайскоязычный теневой рынок, через который, по данным исследователей, проходят услуги по отмыванию денег для криптомошенников, а также другие криминальные сервисы.

WIRED пишет, что за всё время существования площадка уже провела операций примерно на $21 млрд, а после санкций Великобритании в конце марта её активность не только не остановилась, но и продолжилась почти в прежнем темпе.

Всего за 19 дней после введения санкций через Xinbi прошло ещё около $505 млн, а общее число пользователей почти дотянуло до полумиллиона. Telegram за это время, судя по всему, не предпринял шагов для удаления всей этой инфраструктуры.

Сама площадка давно фигурирует в расследованиях как один из ключевых узлов криминальной экосистемы в Telegram. Ещё раньше Elliptic оценивала её оборот примерно в $8,4 млрд, а более свежие оценки TRM Labs поднимают общий объём уже до $24,2 млрд. Разброс в цифрах объясняется разной методикой подсчёта, но общий вывод у исследователей один: речь идёт о действительно гигантском рынке, связанном с мошенничеством и отмыванием денег.

Сам Telegram публично почти не комментирует ситуацию. По данным WIRED, на новые запросы издания компания не ответила. При этом в прошлом Telegram уже объяснял своё нежелание вводить «общие запреты» тем, что часть пользователей якобы ищет альтернативные способы международных переводов на фоне жёстких финансовых ограничений в Китае.

RSS: Новости на портале Anti-Malware.ru