Изследовател публикува работещ експлойтен код за незакърпена уязвимост в Windows, която дава на нападателя достъп на ниво SYSTEM, а Microsoft съобщава, че разследва случая. Компанията твърди, че досега не е наблюдавала атаки. Въпреки това публично достъпният експлойт за нулеводневна уязвимост в Windows с достъп до SYSTEM променя времевата рамка: щом кодът е свободно достъпен, за другите е по-лесно да го проучат, копират и адаптират.
Тази публикация обхваща какво е било съобщено, защо типът на уязвимостта е важен и какво можете разумно да направите, докато чакате поправка.
Какво прави експлойтът за нулеводневна уязвимост в Windows с достъп до SYSTEM и какво знаем дотук
Информацията е кратка, затова ето какво е потвърдено:
- Изследовател публикува експлойтен код за уязвимост в Windows.
- Уязвимостта е незакърпена, което я прави нулеводневна.
- Успешният експлойт дава достъп на ниво SYSTEM — най-високото ниво на привилегии на машина с Windows.
- Microsoft разследва проблема.
- Microsoft досега не е наблюдавала атаки, използващи уязвимостта.
Това, което не знаем, е също толкова важно. Източникът не посочва кои версии на Windows са засегнати, дали е определена дата за кръпка или колко надежден е кодът при различни конфигурации. Няма да гадаем тези подробности. Докато Microsoft не публикува съвет, третирайте всяко твърдение за обхвата с внимание.
Защо достъпът до SYSTEM е важен дори без отдалечена атака
Уязвимостите, които дават достъп до SYSTEM, обикновено се описват като проблеми с повишаване на привилегии. С прости думи, те позволяват на някого, който вече има опорна точка на компютъра — например акаунт с ниски привилегии или част от зловреден софтуер — да получи много повече контрол, отколкото би трябвало. Сами по себе си те не позволяват на непознат да проникне през интернет.
Това разграничение е полезно, но не бива да води до самоуспокоение. Контролът на ниво SYSTEM може да позволи на нападателя да изключи инструменти за сигурност, да получи достъп до защитени данни, да промени настройки и да инсталира софтуер, който остава на устройството. Нападателите често свързват уязвимости: една ги въвежда вътре, например чрез зловредно изтегляне или прикачен файл за фишинг, а уязвимост за повишаване на привилегии като тази им дава ключовете.
Така че реалистичният риск за повечето хора е косвен. Експлойтът е най-важен, ако нещо друго вече се е объркало на вашето устройство, или ако споделяте компютър с други, използвате работна машина или стартирате софтуер от източници, на които не се доверявате напълно.
Как това се вписва в модела на публични издания на нулеводневни уязвимости в Windows
Това не е изолирано събитие. Изследователи многократно са публикували експлойтен код за уязвимости в Windows, преди Microsoft да е пуснала поправки, и сме отразявали няколко от тези случаи. Нулеводневната уязвимост MiniPlasma също включваше публично издадено доказателство за концепцията за проблем с повишаване на привилегии в Windows, който дава достъп до SYSTEM. Друг случай включваше изследовател с добре документирана история на публикуване на експлойти, както е отразено в нашия доклад за това как Nightmare Eclipse пусна поредна нулеводневна уязвимост в Windows.
Общата нишка е разликата между разкриването и поправката. Публичният код намалява усилията, необходими на другите да надградят върху него, дори когато оригиналният изследовател не цели вреда. Ето защо твърдението на Microsoft, че не наблюдава атаки, е успокояващо, но временно. То описва настоящето, а не гаранция.
Какво означава това за вас
За повечето домашни потребители няма нужда от паника. Този тип уязвимост изисква нападателят вече да изпълнява код на вашата машина. Най-добрата ви защита е да направите тази първа стъпка по-трудна и да ограничите щетите, ако тя се случи.
Ако управлявате компютри за семейство, малък бизнес или екип, приоритетът е малко по-висок. Споделените машини и акаунтите с широки права дават на уязвимостта за повишаване на привилегии повече възможности. Следете за съвета на Microsoft и прилагайте своевременно всички указания за актуализация или смекчаване, щом се появят.
Как да намалите риска си, докато Microsoft не пусне кръпка
Не можете да инсталирате поправка, която още не съществува, но можете да свиете експозицията си:
- Оставете Windows Update включен. Когато Microsoft пусне кръпка, искате да я получите бързо. Поддържайте актуални и антивирусната си програма, и останалия софтуер.
- Ограничете администраторските акаунти. Използвайте стандартен акаунт за ежедневна работа и запазете администраторския достъп за задачи, които го изискват. Това намалява какво може да направи зловредният софтуер в началото.
- Избягвайте недоверени файлове. Бъдете внимателни с прикачени файлове в имейли, кракнат софтуер, непознати изтегляния и връзки от неизвестни податели, тъй като това са чести начини да се получи първоначалната опорна точка.
- Следете за официални указания. Разчитайте на собствените съвети на Microsoft за стъпки за смекчаване, а не на твърдения на трети страни или непроверени поправки.
- Правете резервни копия на важните данни. Скорошно резервно копие, съхранявано офлайн или на отделно място, ограничава вредата от всяко компрометиране.
Основният извод
Публичният експлойт за нулеводневна уязвимост в Windows с достъп до SYSTEM е причина за разумно внимание, а не за тревога. Microsoft разследва и съобщава, че няма атаки, но публичният код скъсява прозореца, преди други да се опитат да го използват. Поддържайте Windows Update включен, ограничете администраторските акаунти и избягвайте недоверени файлове, докато чакате кръпка. За повече контекст относно подобни скорошни случаи прочетете нашето отразяване на експлойта MiniPlasma на ниво SYSTEM и изданията на Nightmare Eclipse.
