Un cerecetător din domeniul securității a descoperit o modalitate banală de creștere a drepturilor de acces pe Windows 10 via PowerShell și nimeni nu a acordat atenția cuvenită acestei probleme timp de 10 luni. În decembrie 2017 Sebastian Castro din Columbia cercetător la CSL, a găsit o modalitate să modifice un parametru asociat conturilor de utilizator din Windows 10, denumit Relative Identifier (RID). Este un cod ce este adăugat la finalul SID (security identifier) pentru fiecare cont și care identifică drepturile de acces. Sunt mai multe opțiuni, cel mai comun este 501 pentru conturile de tip guest, cel de admin are 500.
Castro, împreună cu Pedro Garcoa, CEO la CSL, au descoperit că modificând niște parametri din Windows Registry e posibil ca informațiile RID asociate conturilor să poată fi modificate. Prin asta se poate infecta ușor un sistem, oferind unui cont cu drepturi limitate acces nelimitat pe sistem, dar treaba asta nu se poate face remote, e nevoie ca atacatorul să aibă acces fizic la PC.
Dar dacă atacatorul poate modifica drepturile de acces, poate face lucruri foarte distructive cu acel cont. Cum schimbările la nivel Windows Registry rămân active și după reboot/update, problema pare să fie foarte gravă și afectează toate versiunile de WIndows de la XP la Windows 10 și de la Windows Server 2003 la 2016. Pe scurt, cam toate versiunile de Windows aflate în funcțiune în acest moment.
Mai multe informații despre problemă puteți obține dacă urmăriți acest material video:
Totodată trebuie menționat că deja există un modul pentru Metasploit Framework care se ocupă de treaba asta, util pentru cei ce vor să execute teste de securitate.
Pentru moment Microsoft nu a oferit niciun comentariu legat de această temă și ce e mai grav este că nu există o modalitate clară de protecție, alta decât blocarea accesului fizic la PC a oricărei persoane neautorizate.
Utilizatorii casnici nu prea au de ce să își facă probleme vizavi de această vulnerabilitate, cel mai probabil că nu vor oferi accesul la PC unei alte persoane, capabilă să execute atacul.
În mediul corporate problema este cu totul alta, șansele ca cineva să încerce un astfel de atac sunt destul de mari, cu urmări periculoase.
Soluția de protecție? Nu prea există în acest moment alta decât blocarea accesului fizic, neautorizat, la PC.
via zdnet
