Redazione RHC : 17 Ottobre 2022 15:16
Ultimamente, gli attacchi “Bring Your Own Vulnerable Driver” (BYOVD), stanno diventando un problema complesso per i proprietari dei sistemi operativi Windows.
Questo metodo consente a un utente malintenzionato con privilegi di amministrazione di aggirare facilmente le protezioni del sistema e quindi del kernel. La base di questo attacco è che la maggior parte dei driver di Windows è progettata per interagire con un hardware specifico.
Ad esempio, se acquisti un auricolare da Logitech e lo colleghi al sistema, Windows potrebbe installare automaticamente un driver creato dalla Logitech.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Tuttavia, ci sono molti driver a livello di kernel su Windows che non sono destinati alla comunicazione con dispositivi esterni. Alcuni vengono utilizzati per il debug delle chiamate di sistema di basso livello e negli ultimi anni molti giochi per PC hanno iniziato a installarli come software anti-cheat.
Windows non consente l’esecuzione di driver in modalità kernel non firmati per impostazione predefinita, a partire da Windows Vista a 64 bit, che ha notevolmente ridotto la quantità di malware che può accedere all’intero PC.
Ciò ha portato alla crescente popolarità delle vulnerabilità “Bring Your Own Vulnerable Driver”, o BYOVD.
Tale metodo di infezione sfrutta i driver firmati esistenti invece di caricarne dei nuovi non firmati.
Quindi, invece di scrivere un exploit da zero, un criminale informatico installa semplicemente un driver di terze parti con vulnerabilità note.
Quindi utilizza queste vulnerabilità per ottenere l’accesso istantaneo ad alcune delle aree più protette di Windows.
Infatti, molti driver legittimi contengono vulnerabilità che portano al danneggiamento della memoria o consentono agli hacker di iniettare il proprio codice dannoso direttamente nel kernel. Anche dopo aver corretto i difetti, i vecchi driver con bug saranno ancora disponibili per gli attacchi BYOVD perché sono già firmati.
Microsoft è a conoscenza della minaccia BYOVD e sta lavorando per adeguare il sistema operativo. Per fermare questo genere di attacco, l’azienda crea meccanismi di blocco che impediscono a Windows di caricare driver firmati e vulnerabili.
In precedenza si è appreso che il gruppo BlackByte ha utilizzato la tecnica BYOVD per sfruttare una vulnerabilità nel driver MSI Afterburner RTCore64.sys , che consente agli hacker di aumentare i privilegi ed eseguire codice arbitrario.
Le mitigazioni software di Microsoft per i famigerati difetti di sicurezza Meltdown e Spectre del 2018 prevengono anche alcuni attacchi BYOVD e altri recenti miglioramenti nei processori x86 di Intel e AMD colmano alcune lacune.
Tuttavia, non tutti hanno i computer più recenti o le ultime versioni completamente patchate di Windows, quindi il malware che utilizza BYOVD è ancora un problema. Gli attacchi sono anche incredibilmente complicati, quindi è difficile mitigarli completamente con l’attuale modello di driver in Windows.
RedazioneLa nuova famiglia di malware LameHug utilizza il Large Language Model (LLM) per generare comandi che vengono eseguiti sui sistemi Windows compromessi. Come riportato da Bleeping Computer, LameHug ...
Recentemente, abbiamo discusso una vulnerabilità critica zero-day, CVE-2025-53770, presente in Microsoft SharePoint Server, che rappresenta un bypass della precedente falla di sicurezza CVE-2025-...
Sophos ha recentemente annunciato la risoluzione di cinque vulnerabilità di sicurezza indipendenti individuate nei propri firewall, alcune delle quali di gravità critica e altre di livello a...
Giovedì 16 luglio è stata una giornata significativa per i ricercatori di sicurezza informatica del team italiano Red Team Research (RTR) di TIM, che ha visto pubblicate cinque nuove vulnera...
Una falla critica nella sicurezza, relativa alla corruzione della memoria, è stata individuata nel noto software di archiviazione 7-Zip. Questa vulnerabilità può essere sfruttata da mal...
Iscriviti alla newsletter settimanale di Red Hot Cyber per restare sempre aggiornato sulle ultime novità in cybersecurity e tecnologia digitale.
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
