Redazione RHC : 9 Novembre 2024 21:19
L’esperto di SafeBreach Alon Leviev ha rilasciato uno strumento chiamato Windows Downdate, che può essere utilizzato per attacchi di downgrade alle versioni di Windows 10, Windows 11 e Windows Server. Un simile attacco consente di sfruttare le vulnerabilità che sono già state corrette, poiché il sistema operativo diventa nuovamente vulnerabile a vecchi bug.
Windows Downdate è uno strumento Python open source, precompilato in un eseguibile Windows, che può essere utilizzato per eseguire il downgrade dei componenti di sistema di Windows 10, Windows 11 e Windows Server.
Leviev ha condiviso diversi esempi di utilizzo dello strumento, che consente di ripristinare gli aggiornamenti dell’hypervisor Hyper-V (a una versione vecchia di due anni), del kernel di Windows, dei driver NTFS e Filter Manager (alle versioni di base), come così come altri componenti di Windows e patch applicate in precedenza.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
“Con Windows Downdate, puoi assumere il controllo degli aggiornamenti di Windows per eseguire il downgrade ed esporre le vulnerabilità passate contenute nelle DLL, nei driver, nel kernel NT, nel Secure Kernel, nell’hypervisor, nei trustlet IUM e altro ancora”, afferma Leviev. “Oltre ai downgrade personalizzati, Windows Downdate contiene esempi di facile utilizzo di rollback di patch per CVE-2021-27090, CVE-2022-34709, CVE-2023-21768 e PPLFault, nonché esempi di downgrade dell’hypervisor, kernel e bypassando i blocchi UEFI VBS.”
Ricordiamo che per la prima volta l’esperto ha parlato di questo attacco e delle vulnerabilità 0-day associate ( CVE-2024-38202 e CVE-2024-21302 ) alla conferenza Black Hat 2024, quando ha spiegato l’utilizzo dello strumento è quasi impossibile da rilevare, poiché l’attacco non viene bloccato dalle soluzioni EDR e Windows Update considera il dispositivo completamente aggiornato.
“Ho scoperto diversi modi per disabilitare la sicurezza VBS di Windows, tra cui Credential Guard e Hypervisor-Protected Code Integrity (HVCI), anche quando si utilizzano i blocchi UEFI. Per quanto ne so, questa è la prima volta che i blocchi UEFI in VBS vengono aggirati senza accesso fisico. Di conseguenza, sono stato in grado di rendere una macchina Windows completamente aggiornata suscettibile a migliaia di vecchie vulnerabilità, trasformando le vulnerabilità già corrette in 0 giorni e rendendo il termine “completamente patchato” privo di significato per qualsiasi sistema Windows nel mondo”, ha affermato Leviev alla conferenza Black Hat.
Sebbene Microsoft abbia rilasciato un aggiornamento ( KB5041773 ) il 7 agosto 2024 per risolvere la vulnerabilità di escalation dei privilegi CVE-2024-21302 di Windows Secure Kernel Mode, la società non ha ancora corretto la vulnerabilità di escalation dei privilegi dello stack di Windows Update CVE-2024-38202.
RedazioneSviluppare agenti di intelligenza artificiale in grado di individuare vulnerabilità in sistemi complessi è ancora un compito impegnativo che richiede molto lavoro manuale. Tuttavia, tali age...
L’azienda cinese Kaiwa Technology, con sede a Guangzhou, ha annunciato l’intenzione di creare il primo “utero robotico” al mondo entro il 2026: una macchina umanoide con un...
Uno strumento Microsoft Web Deploy presenta una falla critica di sicurezza, potenzialmente sfruttata da aggressori autenticati per eseguire codice sui sistemi coinvolti. Si tratta del bug monitorato c...
Secondo quanto riportato dai media, le autorità statunitensi starebbero segretamente inserendo dispositivi di localizzazione in lotti di chip che potrebbero essere dirottati illegalmente verso la...
Una nuova campagna malware per Android sta prendendo di mira i clienti bancari in Brasile, India e Sud-est asiatico, combinando frodi contactless NFC, intercettazione delle chiamate e sfruttamento del...
