Microsoft da scarsa attenzione ai problemi di PatchGuard e gli hacker non divulgano più.

Il ricercatore giapponese di sicurezza informatica Kento Oki ha scoperto una vulnerabilità nella funzionalità di sicurezza Microsoft Kernel Patch Protection (nota anche come PatchGuard) in Windows.

Il suo sfruttamento consente agli aggressori di caricare codice dannoso nel kernel del sistema operativo Windows. L'esperto ha descritto nel dettaglio sul suo blog lo sfruttamento della funzione PatchGuard e ha pubblicato il codice PoC di sfruttamento su GitHub.

“Il programma malevolo tenterà di registrare una routine di callback che appare nell'indirizzo virtuale del kernel con codice non firmato, che di solito è impossibile da ottenere con mezzi legittimi. In questo scenario, il malware dovrebbe già avere privilegi elevati, ma ciò non significa che il bypass non sia utile", ha aggiunto Kento.

Negli ultimi anni, gli esperti hanno scoperto diversi modi per aggirare PatchGuard e le modifiche al kernel utilizzando codice non autorizzato.

Metodi come GhostHook, InfinityHook e ByePg sono stati identificati nel 2017 e nel 2019 e tutti consentono agli aggressori di accedere a PatchGuard e connettersi al kernel tramite una funzione legittima, quindi modificarne la struttura interna.

Tuttavia, nonostante le argomentazioni degli esperti, Microsoft non considera ancora le vulnerabilità di bypass di PatchGuard come dovrebbe.

Gli esperti del gigante della tecnologia li chiamano errori di codice piuttosto banali. Mentre Microsoft ha finito per correggere tre bypass di PatchGuard pochi mesi dopo la pubblicazione dei rapporti, anche anni dopo, classificare i bypass di PatchGuard come non legati alla sicurezza ha implicazioni.