Redazione RHC : 20 Agosto 2023 22:22
Lo specialista di Deep Instinct Ron Ben Yizhak ha presentato alla conferenza Defcon un nuovo attacco denominato NoFilter che si basa sulla Windows Filtering Platform (WFP) per aumentare i privilegi in Windows.
Come spiega l’esperto, se un utente malintenzionato ha già la possibilità di eseguire codice con diritti di amministratore, ma il suo obiettivo è eseguire, ad esempio, LSASS Shtinkering, tali privilegi non saranno sufficienti, dovrà essere eseguito come NT AUTHORITY\SYSTEM.
In questo caso, l’attacco NoFilter ti consentirà di passare dai diritti di amministratore a SYSTEM.
Il punto di partenza di questa ricerca è stato lo strumento dell’azienda chiamato RPC Mapper, utilizzato per mappare i metodi RPC (Remote Procedure Call), in particolare quelli che chiamano WinAPI. Questo ha portato alla scoperta del metodo BfeRpcOpenToken, che fa parte del WFP.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Ricordiamo che WFP è un insieme di API e servizi di sistema che vengono utilizzati per elaborare il traffico di rete e consentono di configurare filtri che bloccano le comunicazioni.
“La tabella handle di un altro processo può essere ottenuta chiamando NtQueryInformationProcess“, spiega l’esperto. “Questa tabella elenca i token detenuti dal processo. Gli handle di questi token possono essere duplicati in modo che un altro processo possa elevarsi a SYSTEM.”
Pertanto, un programma dannoso in esecuzione in modalità utente ha la possibilità di accedere ai token di altri processi utilizzando determinate funzioni (come DuplicateToken o DuplicateHandle) e quindi utilizzare il token per avviare un processo figlio con privilegi SYSTEM.
Allo stesso tempo, tale attacco può essere furtivo e non lasciare quasi tracce e registri, ma NoFilter ti aiuterà a lanciare una nuova console come NT AUTHORITY\SYSTEM, o sotto le spoglie di un altro utente che ha effettuato l’accesso al sistema.
Ron Ben Yitzhak riassume che è possibile trovare nuovi vettori di attacco anche semplicemente esaminando i componenti integrati del sistema operativo come WFP.
Il rapporto rileva inoltre che Microsoft è stata informata in anticipo di questo problema, ma ha ritenuto che il comportamento descritto non fosse una vulnerabilità.
RedazioneUna Panda del 2003, acquistata per appena 800 €, è diventata qualcosa di totalmente diverso, anche per noi di Red Hot Cyber! Grazie alla genialità di Matteo Errera e Roberto Za...
Mentre l’ondata di caldo e il desiderio di una pausa estiva spingono milioni di persone verso spiagge e città d’arte, i criminali informatici non vanno in vacanza. Anzi, approfittan...
Di recente, i criminali informatici si sono nuovamente concentrati su vecchie vulnerabilità presenti nelle popolari telecamere Wi-Fi e nei DVR D-Link. La Cybersecurity and Infrastructure Security...
Per decenni abbiamo celebrato il digitale come la promessa di un futuro più connesso, efficiente e democratico. Ma oggi, guardandoci intorno, sorge una domanda subdola e inquietante: e se fossimo...
Per quanto riguarda i compiti banali che i robot umanoidi potrebbero presto svolgere per noi, le possibilità sono ampie. Fare il bucato è probabilmente in cima alla lista dei desideri di mol...
