Anonymní výzkumník kybernetické bezpečnosti, který odhalil tři zranitelnosti v programu Microsoft Defender, se vrátil s dalšími dvěma zero-day zranitelnostmi zahrnujícími obcházení BitLockeru a eskalaci oprávnění s dopadem na Windows Collaborative Translation Framework (CTFMON).

Bezpečnostní závady byly výzkumníkem, který používá online aliasy Chaotic Eclipse a Nightmare-Eclipse, pojmenovány YellowKey a GreenPlasma.

Výzkumník popsal YellowKey jako „jeden z nejbláznivějších objevů, jaké jsem kdy našel“, a přirovnal obcházení BitLockeru k fungování jako zadní vrátka, protože chyba je přítomna pouze v prostředí Windows Recovery Environment (WinRE), což je vestavěný framework určený k řešení a opravě běžných problémů s nespustitelnými operačními systémy.

Obcházení BitLockeru

První ze zranitelností se týká mechanismu šifrování disku BitLocker, který je součástí systému Windows a slouží k ochraně dat na úrovni celého svazku. Útočníkům se podařilo tuto ochranu obejít způsobem, jenž jim umožnil přístup k šifrovaným datům bez znalosti příslušného hesla nebo šifrovacího klíče. Tato zranitelnost představuje vážné riziko zejména pro organizace, které se při ochraně citlivých informací na přenosných zařízeních spoléhají právě na BitLocker.

Podrobnosti o konkrétním způsobu zneužití nebyly z bezpečnostních důvodů zveřejněny, aby se předešlo dalšímu šíření útoků dříve, než si uživatelé stihnou nainstalovat dostupné záplaty.

Eskalace oprávnění přes CTFMON

Druhá zranitelnost se nachází v komponentě CTFMON (CTF Monitor), která ve Windows zajišťuje podporu alternativních metod vstupu, jako jsou přepínače jazyků a metody zadávání textu. Chyba útočníkům umožňovala eskalovat oprávnění na úroveň SYSTEM, tedy získat nejvyšší možná oprávnění v operačním systému Windows.

Úspěšné zneužití této zranitelnosti by útočníkovi s omezeným přístupem k cílovému systému dovolilo převzít nad ním plnou kontrolu. To z dané chyby činí obzvláště nebezpečný nástroj pro pokročilé trvalé hrozby (APT) i běžné kyberzločince.

Tyto dva zero-day exploity jsou součástí rozsáhlejšího trendu, při němž útočníci stále cíleněji zaměřují svou pozornost na součásti operačního systému, které jsou obvykle považovány za důvěryhodné a bezpečné. BitLocker i CTFMON jsou hluboce integrované prvky Windows, a právě proto představují pro zákeřné aktéry lákavé cíle.

Bezpečnostní komunita situaci nadále sleduje a očekává se, že v nadcházejících dnech budou zveřejněny podrobnější technické analýzy obou zranitelností.

Zdroj: thehackernews.com