Появился новый пугающий способ отменить исправления безопасности Windows

Как опытный энтузиаст кибербезопасности, который видел свою долю цифровых угроз, последние новости об инструменте Windows Downdate вызывают у меня одновременно тревогу и заинтригованность. Тревога, потому что это еще одно напоминание о том, что ни одна система не является полностью безопасной, и интрига, потому что она демонстрирует креативность и изобретательность таких исследователей безопасности, как Алон Леваев.

💰

"Рынок красный? Это просто сезон скидок для умных инвесторов." - так говорят, чтобы не плакать. У нас — аналитика, которая помогает плакать реже.

Найти недооцененные активы

Для обеспечения безопасности вашего компьютера от возникающих угроз необходимы обновления, известные как исправления безопасности для Windows. Однако существует метод, называемый «атакой понижения версии», который обходит обновления Microsoft. Эксперт по безопасности стремился продемонстрировать серьезные последствия таких обходов.

Как технический энтузиаст, я недавно наткнулся на интригующую концепцию: инструмент Windows Downgrade Tool, изобретение исследователя SafeBreach Алона Леваева, о котором он подробно рассказал в сообщении в блоге компании. Этот инструмент разработан для проверки концепции и имеет возможность намеренно понижать версию некоторых компонентов систем Windows Server, а также Windows 10 и 11, создавая постоянные и необратимые изменения, которые невозможно легко отменить.

Как исследователь, я бы выразил это так: «Я обнаружил, что мой инструмент, как и другие подобные ему, выполняет атаку с откатом версии. Эта стратегия предназначена для возврата безопасного, полностью обновленного программного обеспечения обратно к более ранней версии. Поступая таким образом, злоумышленники могут обнаруживать и использовать однажды исправленные уязвимости, тем самым получая незаконный доступ к системам».

Он также упоминает, что вы можете использовать этот инструмент, чтобы подвергнуть компьютер более старым уязвимостям, обнаруженным в драйверах, DLL, Secure Kernel, NT Kernel, гипервизоре и т. д. Далее Леваев опубликовал на X (ранее Twitter) следующее сообщение: «Помимо выборочного перехода на более раннюю версию, Windows Downdate предоставляет простые в использовании примеры использования возврата исправлений для CVE-2021-27090, CVE-2022-34709, CVE-2023-21768 и PPLFault, а также примеры перехода на более раннюю версию гипервизора, ядра и обхода блокировок UEFI VBS».

Если вы еще не проверили, инструмент Windows Downdate уже доступен! Вы можете использовать его, чтобы взять на себя управление обновлениями Windows, понизить версию и выявить прошлые уязвимости, обнаруженные в DLL, драйверах, ядре NT, безопасном ядре, гипервизоре, трастлетах IUM и многом другом!

— Алон Леваев (@_0xDeku) 25 августа 2024 г.

Что также беспокоит, так это то, что этот инструмент невозможно обнаружить, поскольку он не может быть заблокирован решениями по обнаружению и реагированию конечных точек (EDR), и ваш компьютер с Windows будет продолжать сообщать вам, что он обновлен, даже если это не так. Он также обнаружил различные способы отключения безопасности на основе виртуализации Windows (VBS), включая целостность кода, защищенного гипервизором (HVCI) и Credential Guard.

7 августа Microsoft выпустила обновление безопасности KB5041773, исправляющее уязвимость CVE-2024-21302 в режиме безопасного ядра Windows, которое позволяет повысить привилегии, а также устраняет проблему CVE-2024-38202. Кроме того, Microsoft предоставила пользователям Windows предложения по повышению их безопасности, включая настройку параметров «Аудит доступа к объектам» для отслеживания попыток доступа к файлам. Выпуск этого инструмента подчеркивает уязвимость компьютеров к различным атакам и подчеркивает важность сохранения бдительности, когда дело касается кибербезопасности.

Вот один из способов перефразировать данный текст, сохранив его первоначальный смысл:

Смотрите также

2024-08-28 01:27