🌟 Atualização imperdÃvel para quem gosta de estar bem informado!
A notÃcia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança divulgaram novos ataques “Plug and Pwn” que abusam do recurso Plug and Play do Windows para fazer com que o Windows instale software de fornecedor vulnerável ou inseguro e obtenha privilégios de SYSTEM.
A pesquisa, apresentada na DEF CON 34 pelos pesquisadores de segurança Alejandro Hernando e Borja MartÃnez, explora como o Windows identifica automaticamente novo hardware conectado, localiza pacotes de driver correspondentes e instala software do fornecedor como a conta NT AUTHORITY\SYSTEM.
Ao usar software para emular dispositivos USB, os pesquisadores descobriram que poderiam forçar o Windows a instalar pacotes assinados de fornecedores contendo componentes exploráveis ou pontos fracos que podem ser abusados para obter privilégios de SYSTEM.
Alguns dos ataques demonstrados não requerem interação do usuário ou usuário logado, enquanto outros podem ser executados remotamente por RDP sem que nenhum hardware USB fÃsico esteja conectado ao computador alvo. plugandpwn. com.
Abuso do Plug and Play do Windows
O Windows oferece suporte a um recurso chamado co-instaladores, que baixa e instala automaticamente software e drivers do fornecedor quando um novo dispositivo USB é inserido em um computador.
Em 2021, o BleepingComputer relatou como esse recurso foi abusado junto com uma vulnerabilidade do Razer Synapse para conceder privilégios de SISTEMA a um usuário padrão do Windows simplesmente conectando um mouse ou teclado Razer.
Quando um dispositivo Razer era conectado, o Windows baixava e iniciava automaticamente o instalador Razer Synapse com privilégios de SYSTEM. Uma falha no instalador permitiu que um usuário padrão iniciasse o PowerShell a partir da interface de instalação, fazendo com que o shell herdasse os privilégios do instalador.
O BleepingComputer testou a vulnerabilidade na época e confirmou que ela poderia ser usada para obter privilégios de SYSTEM em aproximadamente dois minutos.
Na época, o analista de vulnerabilidades Will Dormann alertou anteriormente que vulnerabilidades semelhantes provavelmente estavam presentes em outros softwares instalados automaticamente através do Windows Plug and Play.
Hernando disse ao BleepingComputer que Plug e Pwn pertencem à mesma famÃlia de ataques, mas a nova pesquisa se concentra mais no próprio caminho de instalação do dispositivo Windows.
“O bug da Razer é da mesma famÃlia. A diferença é que buscamos o próprio caminho de instalação em vez do instalador de um fornecedor”, disse Hernando ao BleepingComputer.
"Algumas de nossas cadeias não precisam de cliques nem de sessão de logon, e uma delas é executada em RDP sem nenhum hardware."
Os pesquisadores dizem que o principal problema é que, quando o Windows detecta um novo hardware, ele pode recuperar automaticamente um pacote assinado associado e executar componentes fornecidos pelo fornecedor como SYSTEM.
Esse caminho de instalação privilegiado pode incluir co-instaladores, serviços, executáveis de suporte e drivers, sem nenhum prompt do UAC exibido pelo sistema operacional.
De dispositivos USB falsos a ataques RDP remotos
Os pesquisadores disseram ao BleepingComputer que usaram FaceDancer com hardware Cynthion e GreatFET conectado a um pequeno computador Linux para emular dispositivos USB.
FaceDancer é uma estrutura de software para emular dispositivos USB, permitindo aos pesquisadores definir os descritores, interfaces, classes de dispositivos e terminais que um computador usa para identificar dispositivos conectados.
Conectar hardware executando FaceDancer a um computador pode fazer com que o sistema operacional se comporte como se um dispositivo USB especÃfico tivesse sido conectado.
Usando o FaceDancer, os pesquisadores puderam fazer com que seu hardware aparecesse para o Windows como dispositivos USB especÃficos, fazendo com que o sistema operacional reconhecesse o hardware emulado e localizasse e instalasse os pacotes de driver do fornecedor associado.
Algumas cadeias de ataque também exigem que o dispositivo emulado seja desconectado e reapareça como uma identidade de dispositivo diferente.
"Várias de nossas cadeias dependem da apresentação do dispositivo como composto para que o Windows carregue usbccgp.sys e enumere cada interface por conta própria, o que faz com que ele corresponda ao pacote do fornecedor em vez do driver da caixa de entrada", explicou Hernando ao BleepingComputer.
“Também precisamos renumerar sob demanda, descartando o dispositivo e voltando com uma identidade diferente”.
Em sua demonstração fÃsica sem clique, os pesquisadores exploraram o comportamento dos pacotes de instalação Sierra Wireless e Sony FeliCa.
O ataque primeiro se faz passar por um dispositivo Sierra Wireless, fazendo com que o Windows instale software que pode ser usado para alterar as configurações de DNS do computador.
Os pesquisadores então personificam um dispositivo Sony FeliCa, o que faz com que o Windows instale software Sony adicional que baixa arquivos por meio de uma conexão não criptografada.
Ao controlar as configurações de DNS do sistema, os pesquisadores podem redirecionar esses downloads para um servidor que eles controlam e explorar uma falha no software da Sony para colocar um arquivo malicioso no sistema com privilégios de SYSTEM.
Finalmente, eles se fazem passar pelo dispositivo Sierra novamente, fazendo com que o Windows carregue o arquivo malicioso e permita que os invasores operem.
A pesquisa, apresentada na DEF CON 34 pelos pesquisadores de segurança Alejandro Hernando e Borja MartÃnez, explora como o Windows identifica automaticamente novo hardware conectado, localiza pacotes de driver correspondentes e instala software do fornecedor como a conta NT AUTHORITY\SYSTEM.
Ao usar software para emular dispositivos USB, os pesquisadores descobriram que poderiam forçar o Windows a instalar pacotes assinados de fornecedores contendo componentes exploráveis ou pontos fracos que podem ser abusados para obter privilégios de SYSTEM.
Alguns dos ataques demonstrados não requerem interação do usuário ou usuário logado, enquanto outros podem ser executados remotamente por RDP sem que nenhum hardware USB fÃsico esteja conectado ao computador alvo. plugandpwn. com.
Abuso do Plug and Play do Windows
O Windows oferece suporte a um recurso chamado co-instaladores, que baixa e instala automaticamente software e drivers do fornecedor quando um novo dispositivo USB é inserido em um computador.
Em 2021, o BleepingComputer relatou como esse recurso foi abusado junto com uma vulnerabilidade do Razer Synapse para conceder privilégios de SISTEMA a um usuário padrão do Windows simplesmente conectando um mouse ou teclado Razer.
Quando um dispositivo Razer era conectado, o Windows baixava e iniciava automaticamente o instalador Razer Synapse com privilégios de SYSTEM. Uma falha no instalador permitiu que um usuário padrão iniciasse o PowerShell a partir da interface de instalação, fazendo com que o shell herdasse os privilégios do instalador.
O BleepingComputer testou a vulnerabilidade na época e confirmou que ela poderia ser usada para obter privilégios de SYSTEM em aproximadamente dois minutos.
Na época, o analista de vulnerabilidades Will Dormann alertou anteriormente que vulnerabilidades semelhantes provavelmente estavam presentes em outros softwares instalados automaticamente através do Windows Plug and Play.
Hernando disse ao BleepingComputer que Plug e Pwn pertencem à mesma famÃlia de ataques, mas a nova pesquisa se concentra mais no próprio caminho de instalação do dispositivo Windows.
“O bug da Razer é da mesma famÃlia. A diferença é que buscamos o próprio caminho de instalação em vez do instalador de um fornecedor”, disse Hernando ao BleepingComputer.
"Algumas de nossas cadeias não precisam de cliques nem de sessão de logon, e uma delas é executada em RDP sem nenhum hardware."
Os pesquisadores dizem que o principal problema é que, quando o Windows detecta um novo hardware, ele pode recuperar automaticamente um pacote assinado associado e executar componentes fornecidos pelo fornecedor como SYSTEM.
Esse caminho de instalação privilegiado pode incluir co-instaladores, serviços, executáveis de suporte e drivers, sem nenhum prompt do UAC exibido pelo sistema operacional.
De dispositivos USB falsos a ataques RDP remotos
Os pesquisadores disseram ao BleepingComputer que usaram FaceDancer com hardware Cynthion e GreatFET conectado a um pequeno computador Linux para emular dispositivos USB.
FaceDancer é uma estrutura de software para emular dispositivos USB, permitindo aos pesquisadores definir os descritores, interfaces, classes de dispositivos e terminais que um computador usa para identificar dispositivos conectados.
Conectar hardware executando FaceDancer a um computador pode fazer com que o sistema operacional se comporte como se um dispositivo USB especÃfico tivesse sido conectado.
Usando o FaceDancer, os pesquisadores puderam fazer com que seu hardware aparecesse para o Windows como dispositivos USB especÃficos, fazendo com que o sistema operacional reconhecesse o hardware emulado e localizasse e instalasse os pacotes de driver do fornecedor associado.
Algumas cadeias de ataque também exigem que o dispositivo emulado seja desconectado e reapareça como uma identidade de dispositivo diferente.
"Várias de nossas cadeias dependem da apresentação do dispositivo como composto para que o Windows carregue usbccgp.sys e enumere cada interface por conta própria, o que faz com que ele corresponda ao pacote do fornecedor em vez do driver da caixa de entrada", explicou Hernando ao BleepingComputer.
“Também precisamos renumerar sob demanda, descartando o dispositivo e voltando com uma identidade diferente”.
Em sua demonstração fÃsica sem clique, os pesquisadores exploraram o comportamento dos pacotes de instalação Sierra Wireless e Sony FeliCa.
O ataque primeiro se faz passar por um dispositivo Sierra Wireless, fazendo com que o Windows instale software que pode ser usado para alterar as configurações de DNS do computador.
Os pesquisadores então personificam um dispositivo Sony FeliCa, o que faz com que o Windows instale software Sony adicional que baixa arquivos por meio de uma conexão não criptografada.
Ao controlar as configurações de DNS do sistema, os pesquisadores podem redirecionar esses downloads para um servidor que eles controlam e explorar uma falha no software da Sony para colocar um arquivo malicioso no sistema com privilégios de SYSTEM.
Finalmente, eles se fazem passar pelo dispositivo Sierra novamente, fazendo com que o Windows carregue o arquivo malicioso e permita que os invasores operem.
#samirnews #samir #news #boletimtec #o #ataque #plug #and #pwn #usa #dispositivos #usb #falsos #para #acesso #ao #sistema #windows
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário