Несмотря на попытки Microsoft усилить безопасность Windows, исследователи продолжают находить способы обхода защитных механизмов. Специалист Orange Cyberdefense обнаружил уязвимость, позволяющую выполнить произвольный код в процессе LSASS — хранилище учётных данных пользователей Windows.
В июле 2022 года Microsoft обновила систему Protected Process Light (PPL), чтобы закрыть уязвимость, позволяющую обходить защиту LSASS. Однако исследователи выяснили, что использовать уязвимые библиотеки (метод BYOVDLL) всё ещё возможно.
Автор исследования сконцентрировался на службе CNG Key Isolation (KeyIso) и попытался загрузить её уязвимую версию (keyiso.dll) в LSASS. Первая попытка оказалась неудачной: система не обнаружила цифровую подпись DLL и заблокировала загрузку.
Решение нашлось в каталогах файлов Windows, содержащих криптографические хэши для проверки подлинности. Установив нужный каталог, исследователь добился распознавания подписи уязвимой библиотеки и загрузил её в LSASS.
Для реализации атаки был зарегистрирован новый провайдер ключей, использующий уязвимую версию библиотеки ncryptprov.dll. Подтвердив загрузку DLL в LSASS, автор запустил эксплойт, который успешно выполнил код внутри защищённого процесса.
Таким образом, даже усиленная защита LSASS оказалась уязвимой. Исследование в очередной раз подтвердило: нет предела совершенству, когда речь идёт о безопасности информационных систем.
Источник: overclockers.ruПохожие новости:
Прошел ежегодный Pentest award — лучших этичных хакеров России снова наградили премией и призами
Обновления Windows Server вызывают сбои контроллеров домена, Microsoft выпустила экстренный патч
Microsoft будет поставлять Windows 11 24H2 и Windows Server 2025 без WordPad
Топ-5 ИБ-событий недели по версии Jet CSIRT