Un ricercatore di sicurezza ha pubblicato online il codice di un exploit zero-day per Windows, chiamato BlueHammer. La ragione di questo passo radicale è stato il conflitto del tecnico con il Microsoft Security Response Center (MSRC) riguardo alla gestione del processo delle informazioni da lui fornite.
Il ricercatore, noto con lo pseudonimo di Chaotic Eclipse, ha pubblicato il codice dell'exploit sulla piattaforma GitHub il 3 aprile. L'autore ha espresso delusione per l'atteggiamento della direzione del MSRC verso le informazioni da lui fornite in precedenza riguardo all'incidente e ha rifiutato di spiegare i dettagli tecnici del suo metodo per rivelare la vulnerabilità. L'exploit consente a un attaccante locale di elevare i propri privilegi nel sistema fino al livello SYSTEM o di ottenere diritti di amministratore espansi. Nel frattempo, Microsoft non ha ancora rilasciato un aggiornamento di sicurezza, fornendo solo un commento generico sull'importanza della divulgazione coordinata delle vulnerabilità.
Will Dormann, principale analista di sicurezza della Tharros, ha confermato il funzionamento dell'exploit. Ha spiegato che l'attacco rappresenta un'elevazione locale dei privilegi che combina una vulnerabilità del tempo di controllo (Time-of-Check) con il tempo di utilizzo (Time-of-Use, TOCTOU) e confusione nei percorsi. Questo metodo complesso consente all'hacker di accedere al database Security Account Manager (SAM), dove sono memorizzati gli hash delle password degli account locali. Di conseguenza, è possibile avviare una shell con privilegi massimi e compromettere completamente il computer.
Allo stesso tempo, l'autore del codice Chaotic Eclipse e i tester esterni notano la presenza di bug nell'exploit, che possono rendere il suo funzionamento instabile. In particolare, sulla piattaforma Windows Server il codice non conferisce diritti sistemici completi, ma li eleva solo al livello di amministratore con richiesta di conferma. Dormann ha ipotizzato che l'insoddisfazione dell'autore possa essere stata provocata dalla richiesta di Microsoft di allegare video dimostrativi dell'exploit.
Nonostante l'exploit richieda un accesso locale iniziale, gli hacker possono facilmente ottenerlo in anticipo attraverso ingegneria sociale o altre vulnerabilità nel software.
Fonte:
Fonte: 3dnews.ru
