Un investigador de seguridad ha publicado en línea el código de un exploit de día cero para Windows, llamado BlueHammer. La razón de este drástico paso fue un conflicto del especialista con el Centro de Respuesta de Microsoft (MSRC) sobre el tratamiento del proceso de la información proporcionada por él.
El investigador, que se presenta bajo el seudónimo de Chaotic Eclipse, publicó el código del exploit en la plataforma GitHub el 3 de abril. El autor expresó su decepción por la actitud de la dirección de MSRC hacia la información que había proporcionado previamente sobre el incidente y se negó a explicar los detalles técnicos de su método de divulgación de la vulnerabilidad. El exploit permite a un atacante local elevar sus privilegios en el sistema al nivel SYSTEM o obtener derechos de administrador extendidos. Por el momento, Microsoft no ha lanzado una actualización de seguridad, limitándose a hacer un comentario estándar sobre la importancia de una divulgación coordinada de las vulnerabilidades.
Will Dormann, el principal analista de seguridad de la empresa Tharros, confirmó la eficacia del exploit. Explicó que el ataque representa un aumento local de privilegios que combina una vulnerabilidad de tiempo de verificación a tiempo de uso (Time-of-Check to Time-of-Use, TOCTOU) y confusión de rutas. Este complejo método le da al hacker acceso a la base de datos del Administrador de Cuentas de Seguridad (SAM), donde se almacenan los hashes de las contraseñas de las cuentas locales. Como resultado, es posible iniciar una consola de comandos con privilegios máximos y comprometer completamente el ordenador.
Al mismo tiempo, el propio autor del código, Chaotic Eclipse, y testers externos señalan la existencia de errores en el exploit, lo que puede hacer que funcione de manera inestable. En particular, en la plataforma Windows Server, el código no otorga derechos de sistema completos, sino que solo los eleva al nivel de administrador con una solicitud de confirmación. Dormann sugirió que el requerimiento de Microsoft de adjuntar, obligatoriamente, un video que demuestre el hackeo pudo haber irritado al autor.
A pesar de que la vulnerabilidad requiere acceso local inicial, los hackers pueden obtenerlo fácilmente de antemano a través de ingeniería social u otras brechas en el software.
Fuente:
Fuente: 3dnews.ru
