Redazione RHC : 20 Agosto 2023 22:22
Lo specialista di Deep Instinct Ron Ben Yizhak ha presentato alla conferenza Defcon un nuovo attacco denominato NoFilter che si basa sulla Windows Filtering Platform (WFP) per aumentare i privilegi in Windows.
Come spiega l’esperto, se un utente malintenzionato ha già la possibilità di eseguire codice con diritti di amministratore, ma il suo obiettivo è eseguire, ad esempio, LSASS Shtinkering, tali privilegi non saranno sufficienti, dovrà essere eseguito come NT AUTHORITY\SYSTEM.
In questo caso, l’attacco NoFilter ti consentirà di passare dai diritti di amministratore a SYSTEM.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Il punto di partenza di questa ricerca è stato lo strumento dell’azienda chiamato RPC Mapper, utilizzato per mappare i metodi RPC (Remote Procedure Call), in particolare quelli che chiamano WinAPI. Questo ha portato alla scoperta del metodo BfeRpcOpenToken, che fa parte del WFP.
Ricordiamo che WFP è un insieme di API e servizi di sistema che vengono utilizzati per elaborare il traffico di rete e consentono di configurare filtri che bloccano le comunicazioni.
“La tabella handle di un altro processo può essere ottenuta chiamando NtQueryInformationProcess“, spiega l’esperto. “Questa tabella elenca i token detenuti dal processo. Gli handle di questi token possono essere duplicati in modo che un altro processo possa elevarsi a SYSTEM.”
Pertanto, un programma dannoso in esecuzione in modalità utente ha la possibilità di accedere ai token di altri processi utilizzando determinate funzioni (come DuplicateToken o DuplicateHandle) e quindi utilizzare il token per avviare un processo figlio con privilegi SYSTEM.
Allo stesso tempo, tale attacco può essere furtivo e non lasciare quasi tracce e registri, ma NoFilter ti aiuterà a lanciare una nuova console come NT AUTHORITY\SYSTEM, o sotto le spoglie di un altro utente che ha effettuato l’accesso al sistema.
Ron Ben Yitzhak riassume che è possibile trovare nuovi vettori di attacco anche semplicemente esaminando i componenti integrati del sistema operativo come WFP.
Il rapporto rileva inoltre che Microsoft è stata informata in anticipo di questo problema, ma ha ritenuto che il comportamento descritto non fosse una vulnerabilità.
La rete governativa del Nevada è rimasta paralizzata dopo un incidente avvenuto nelle prime ore del mattino del 24 agosto. L’attacco ha reso inoperativa l’infrastruttura IT dello St...
Una vulnerabilità critica nella versione desktop di Docker per Windows e macOS ha consentito la compromissione di un sistema host tramite l’esecuzione di un contenitore dannoso, anche se e...
Finalmente (detto metaforicamente), ci siamo arrivati. Gli esperti di ESET hanno segnalato il primo programma ransomware in cui l’intelligenza artificiale gioca un ruolo chiave. Il nuovo campio...
A partire da metà settembre, la Red Hot Cyber Academy inaugurerà un nuovo capitolo della propria offerta formativa con il lancio del corso “Prompt Engineering: dalle basi alla Cyberse...
SinCity torna a far parlare di sé, questa volta mettendo in vendita l’accesso amministrativo a un nuovo shop online italiano basato su PrestaShop. Secondo quanto dichiarato dallo stesso th...