Un ricercatore di sicurezza ha reso pubblico il codice di un exploit zero-day per Windows, denominato BlueHammer. Questo radicale passo è stato motivato da un conflitto con il Microsoft Security Response Center (MSRC) riguardo alla gestione delle informazioni che aveva fornito.
Il ricercatore noto con lo pseudonimo di Chaotic Eclipse ha pubblicato il codice dell'exploit sulla piattaforma GitHub il 3 aprile. L'autore ha espresso delusione per l'atteggiamento della dirigenza del MSRC nei confronti delle informazioni che aveva fornito in precedenza riguardo all'incidente e si è rifiutato di spiegare i dettagli tecnici del suo metodo di divulgazione della vulnerabilità. L'exploit consente a un attaccante locale di elevare i propri privilegi di sistema fino al livello SYSTEM o di ottenere diritti amministrativi estesi. Nel frattempo, Microsoft non ha ancora rilasciato un aggiornamento di sicurezza, fornendo solo un commento generico sull'importanza della divulgazione coordinata delle vulnerabilità.
Il principale analista di sicurezza di Tharros, Will Dormann, ha confermato il funzionamento dell'exploit. Ha spiegato che l'attacco rappresenta un'escalation locale dei privilegi, che combina una vulnerabilità di verifica del tempo rispetto all'uso (Time-of-Check to Time-of-Use, TOCTOU) e confusione dei percorsi. Questo metodo complesso consente all'hacker di accedere al database Security Account Manager (SAM), dove sono memorizzati gli hash delle password degli account locali. Di conseguenza, è possibile avviare una shell dei comandi con privilegi massimi e compromettere completamente il computer.
Contemporaneamente, lo stesso autore del codice Chaotic Eclipse e tester esterni segnalano la presenza di bug nell'exploit, per cui potrebbe funzionare in modo instabile. In particolare, sulla piattaforma Windows Server, il codice non conferisce diritti di sistema completi, ma li aumenta solo al livello di amministratore con richiesta di conferma. Dormann ha ipotizzato che l'infastidimento dell'autore potesse essere causato dalla richiesta di Microsoft di allegare obbligatoriamente un video di dimostrazione dell'hack.
Sebbene la vulnerabilità richieda un accesso locale iniziale, gli hacker possono facilmente ottenerlo in anticipo tramite ingegneria sociale o altre falle nel software.
Fonte:
Fonte: 3dnews.ru
