Um pesquisador de segurança divulgou na internet o código de um exploit de dia zero para Windows, chamado BlueHammer. A razão para tal medida radical foi o conflito do especialista com o Centro de Resposta da Microsoft (MSRC) sobre como tratar o processo das informações fornecidas a ele.
O pesquisador, que usa o pseudônimo Chaotic Eclipse, publicou o código do exploit na plataforma GitHub em 3 de abril. O autor expressou sua frustração com a atitude da administração da MSRC em relação às informações que ele havia fornecido anteriormente sobre o incidente e decidiu, de forma categórica, não explicar os detalhes técnicos de seu método de divulgação da vulnerabilidade. O exploit permite que um atacante local eleve suas permissões no sistema ao nível de SYSTEM ou obtenha direitos de administrador expandidos. Até o momento, a Microsoft não lançou uma atualização de segurança, apenas forneceu um comentário padrão sobre a importância da divulgação coordenada de vulnerabilidades.
Will Dormann, o principal analista de segurança da empresa Tharros, confirmou a funcionalidade do exploit. Ele esclareceu que o ataque consiste em uma elevação local de privilégios, que combina uma vulnerabilidade de tempo de verificação com tempo de uso (Time-of-Check to Time-of-Use, TOCTOU) e confusão de caminhos. Este complexo método dá ao hacker acesso ao banco de dados Security Account Manager (SAM), onde são armazenados os hashes das senhas das contas locais. Como resultado, é possível iniciar um shell de comando com os direitos máximos e comprometer completamente o computador.
Ao mesmo tempo, o próprio autor do código, Chaotic Eclipse, e testadores externos notaram a presença de bugs no exploit, o que pode fazer com que ele opere de forma instável. Em particular, na plataforma Windows Server, o código não oferece direitos de sistema completos, mas apenas os eleva ao nível de administrador com um pedido de confirmação. Dormann sugeriu que o autor poderia ter ficado irritado com a exigência da Microsoft de anexar obrigatoriamente um vídeo demonstrando a exploração.
Apesar de a vulnerabilidade exigir acesso local inicial, hackers podem facilmente obtê-lo antecipadamente por meio de engenharia social ou outras brechas no software.
Fonte:
Fonte: 3dnews.ru
