To separate Windows-sårbarheder dukkede op inden for samme uge, og sikkerhedsforskere advarer om begge af samme alarmerende grund: Vellykket udnyttelse kan give angribere rettigheder på systemniveau på de berørte maskiner. Det er det højeste adgangsniveau, Windows tilbyder, højere end selv en standardadministratorkonto, og det er den slags fodfæste, der forvandler en rutineindtrængen til en fuldstændig kompromittering.

Mens detaljerne om de specifikke sårbarheder stadig er begrænsede, efterhånden som forskere og Microsoft fortsætter undersøgelsen, er selve mønsteret værd at lægge mærke til. Beskyttelse mod Windows zero-day-sårbarheder er ikke længere bare et afkrydsningsfelt for it-afdelinger; det er en praktisk bekymring for alle, der er afhængige af en Windows-pc til arbejde, bankforretninger eller personlig kommunikation.

Hvad de nye Windows zero-day-sårbarheder giver angribere mulighed for at gøre

En zero-day-sårbarhed er en sårbarhed, der er blevet opdaget og i nogle tilfælde aktivt udnyttet, før leverandøren har udgivet en rettelse. I dette tilfælde dukkede to forskellige problemer op i Windows i denne uge, og begge har en fælles tråd: De kan udnyttes til at eskalere en angribers rettigheder til systemniveau.

Rettigheder på systemniveau giver en proces næsten ubegrænset kontrol over en enhed. Det betyder installation af software, ændring af sikkerhedsindstillinger, deaktivering af beskyttelse som antivirusværktøjer og læsning eller skrivning af filer, der normalt ville være utilgængelige for en almindelig brugerkonto. En angriber, der starter med begrænset adgang, for eksempel via en ondsindet e-mailvedhæftning eller en kompromitteret app, kan bruge en sårbarhed til rettighedseskalering som denne til at springe fra "lavniveau-irritation" til "fuld kontrol over maskinen".

Det er præcis den slags sårbarhed, der har tendens til at dukke op i store partier under Microsofts månedlige sikkerhedsopdateringer. For at sætte i perspektiv, hvor ofte disse problemer dukker op, har Microsofts egne opdateringscyklusser været usædvanligt tunge på det seneste; virksomhedens rekordstore juli-opdatering adresserede 570 separate sårbarheder, herunder to zero-days, der allerede blev udnyttet i praksis. To nye sårbarheder på en enkelt uge passer ind i en bredere tendens, hvor Windows står over for en konstant trommehvirvel af alvorlige sikkerhedsproblemer.

Hvorfor systemrettigheder betyder mere end kryptering alene

Det er fristende at betragte en VPN som et omfattende skjold mod hackingforsøg, men krypteringsværktøjer adresserer et andet problem end det, disse sårbarheder skaber. En VPN beskytter data under overførsel og kan skjule din IP-adresse for nysgerrige øjne på netværket. Den gør intet for at stoppe en sårbarhed, der ligger inde i selve operativsystemet.

Hvis en angriber allerede kan udføre kode på din enhed, hvad enten det sker via et phishing-link, en ondsindet download eller et upatchet program, er en fejl til rettighedseskalering mekanismen, der lader dem overtage fuldstændigt. Kryptering af din trafik betyder ikke meget, hvis angriberen allerede ejer maskinen, der sender trafikken. Det er grunden til, at endpoint-sikkerhed, altså de beskyttelser, der er indbygget i og lagt oven på selve operativsystemet, fortjener lige så meget opmærksomhed som værktøjer på netværksniveau.

Fra rettighedseskalering til legitimationsoplysningstyveri og lateral bevægelse

Når en angriber først har adgang på systemniveau, begynder den virkelige skade ofte. Med det kontrolniveau kan de dumpe gemte legitimationsoplysninger, deaktivere sikkerhedssoftware og bevæge sig lateralt på tværs af et netværk ved at udgive sig for at være legitime systemprocesser. På en hjemme-pc kan det betyde adgang til gemte adgangskoder, banksessioner og personlige filer. På et virksomhedsnetværk kan det betyde forskellen mellem en inddæmmet hændelse og et brud i fuld skala.

Det er også den mekanisme, der driver meget af nutidens ransomwareaktivitet. Trusselsaktører stoler i stigende grad på sårbarheder til rettighedseskalering for at etablere vedvarende adgang, før de udruller krypteringsnyttelaster på tværs af et helt netværk. Fremkomsten af polerede ransomware-as-a-service-operationer, som den nyligt lancerede Eclipse-ransomwareplatform, viser, hvor hurtigt en teknisk sårbarhed kan pakkes om til en gentagelig kriminel forretningsmodel, når den først har vist sig effektiv.

Hvad det betyder for dig

Hvis du bruger Windows, er disse sårbarheder en påmindelse om, at patchning ikke er valgfri vedligeholdelse; det er en central del af din sikkerhedsposition. Zero-days kan per definition ikke forhindres alene gennem brugeradfærd, da sårbarheden eksisterer, før nogen ved, at de skal beskytte sig imod den. Men når først en rettelse er udgivet, indsnævres risikovinduet hurtigt for alle, der anvender den med det samme.

Den praktiske reaktion er ligetil, selvom den er let at udskyde: Hold Windows Update aktiveret, og tjek den manuelt i stedet for at vente på en automatisk meddelelse, da kritiske rettelser til rettighedseskaleringsfejl ofte sendes uden for den normale månedlige cyklus, når de bliver aktivt udnyttet. Kombinér det med et velrenommeret endpoint-sikkerhedsværktøj, undgå at køre ukendte eksekverbare filer med forhøjede rettigheder, og vær forsigtig med e-mailvedhæftninger og links, da de stadig er det mest almindelige indgangspunkt, der går forud for udnyttelse af en rettighedseskalering.

Konkrete råd

Tjek din Windows Update-status i dag i stedet for at antage, at den er aktuel. Gennemgå den seneste Patch Tuesday-dækning for at forstå omfanget af de sårbarheder, Microsoft har adresseret, da det sætter disse to nye sårbarheder i kontekst. Behandl ikke en VPN som en erstatning for endpoint-beskyttelse; de to tjener forskellige formål, og begge betyder noget. Vær endelig opmærksom på usædvanlig kontoaktivitet eller uventet softwareadfærd, da udnyttelse af rettighedseskalering ofte fungerer som åbningstrækket i en meget større angrebskæde. Beskyttelse mod Windows zero-day-sårbarheder handler i sidste ende om konsekvente patchvaner og lagdelt forsvar, ikke om et enkelt værktøj.