Redazione RHC : 21 Settembre 2025 20:56
Gli esperti di SafeBreach hanno rivelato i dettagli di una vulnerabilità nel protocollo Windows Remote Procedure Call (RPC), corretta da Microsoft nell’aggiornamento di luglio 2025. La falla, CVE-2025-49760, ha consentito a un aggressore di condurre attacchi di spoofing e impersonare un server legittimo utilizzando il meccanismo di archiviazione di Windows. Ron Ben Yizak ha parlato della scoperta alla conferenza DEF CON 33.
Il protocollo RPC si basa su identificatori di interfaccia univoci (UUID) e sul servizio Endpoint Mapper (EPM), che mappa le richieste client agli endpoint dinamici dei server registrati. La vulnerabilità ha aperto la strada a un cosiddetto attacco di avvelenamento EPM, in cui un utente non privilegiato potrebbe registrare un’interfaccia al servizio incorporato e forzare il processo protetto ad autenticarsi su un server arbitrario. Simile allo spoofing DNS, l’attacco modifica la mappatura degli UUID agli endpoint, reindirizzando il client a una fonte falsa.
Il problema è aggravato dal fatto che EPM non verifica l’autenticità del registrar dell’interfaccia. Ciò ha consentito che un’interfaccia appartenente a un servizio con avvio ritardato o manuale venisse acquisita prima che il processo reale la registrasse. Ciò ha consentito a un aggressore di dirottare la connessione senza disporre dei diritti di amministratore.
 Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
SafeBreach ha creato uno strumento chiamato RPC-Racer in grado di rilevare servizi RPC non sicuri come Storage Service (StorSvc.dll) e reindirizzare le richieste da un processo PPL sicuro come Delivery Optimization (DoSvc.dll) a un server SMB controllato dall’attaccante. Ciò avrebbe fatto sì che il processo si autenticasse con l’account del computer passando un hash NTLM, che avrebbe poi potuto essere utilizzato in un attacco ESC8 per elevare i privilegi tramite Active Directory Certificate Services (ADCS). Utilizzando strumenti come Certipy, è stato possibile ottenere il Kerberos TGT e accedere a tutti i segreti del controller di dominio.
L’intero ciclo di attacco includeva la creazione di un’attività da eseguire all’accesso dell’utente, la registrazione dell’interfaccia del servizio di archiviazione, l’attivazione di una chiamata di Delivery Optimization a un server fittizio, l’invio di un collegamento SMB a una risorsa dannosa e l’estrazione dell’hash NTLM. I dati NTLM sono stati quindi utilizzati per ottenere un certificato e assegnare i diritti a livello di dominio.
Oltre all’escalation diretta, l’EPM-poisoning può essere utilizzato per attacchi Man-in-the-Middle (MitM), reindirizzando le richieste al servizio originale, o per il denial of service, registrando più interfacce e bloccando le richieste. SafeBreach sottolinea che potrebbero esserci altri client nel sistema vulnerabili a tale dirottamento.
Per rilevare tali attacchi, si consiglia di monitorare le chiamate RpcEpRegister e di utilizzare Event Tracing for Windows (ETW) per catturare gli eventi generati da applicazioni e driver. Secondo i ricercatori, in modo simile a come il pinning SSL verifica una chiave specifica, l’EPM deve verificare l’identità del server RPC, altrimenti i client si fideranno di fonti non verificate.
RedazioneLa frase “Costruiremo sicuramente un bunker prima di lanciare l’AGI” dal quale prende spunto l’articolo, è stata attribuita a uno dei leader della Silicon Valley, anche se non è chiaro a chi...
Negli Stati Uniti, una vasta campagna coordinata tramite botnet sta prendendo di mira i servizi basati sul protocollo Remote Desktop Protocol (RDP). Un pericolo notevole è rappresentato dalla scala e...
Un’ondata di messaggi di phishing sta colpendo in questi giorni numerosi cittadini lombardi. Le email, apparentemente inviate da una società di recupero crediti, fanno riferimento a presunti mancat...
La scorsa settimana, Oracle ha avvisato i clienti di una vulnerabilità zero-day critica nella sua E-Business Suite (CVE-2025-61882), che consente l’esecuzione remota di codice arbitrario senza aute...
Dal 6 al 9 ottobre 2025, Varsavia è stata teatro della 11ª edizione della European Cybersecurity Challenge (ECSC). In un confronto serrato tra 39 team provenienti da Stati membri UE, Paesi EFTA, can...
