Istraživač koji djeluje pod pseudonimom Nightmare Eclipse objavio je novi proof-of-concept exploit nazvan ShieldBreak, a pojavljuje se u nezgodnom trenutku. Objava je stigla samo nekoliko sati nakon što je Microsoft zaključio veliki Patch Tuesday, no ShieldBreak i dalje radi, čak i na strojevima koji su instalirali sva dostupna ažuriranja. Exploit cilja Microsoft Defender i napadačima s lokalnim pristupom daje pune privilegije na razini SYSTEM-a, najvišu razinu kontrole koju Windows stroj može dodijeliti. Trenutačno ne postoji službeni popravak.
Ono što ovo čini značajnim nisu samo tehnički mehanizmi. Riječ je o obrascu. Ovo je deseti javno dokumentirani slučaj u seriji koja traje od istog istraživača, a svaki je slijedio sličan scenarij: greška u Defenderovom unutarnjem upravljanju privilegijama, funkcionalni exploit objavljen prije nego što Microsoft može reagirati, te prozor izloženosti koji se proteže od nekoliko dana do nekoliko tjedana dok se popravak razvija.
Obrazac koji se neprestano ponavlja
Pristup otkrivanju ranjivosti koji koristi Nightmare Eclipse postao je svojevrsna ponavljajuća priča u krugovima Windows sigurnosti. Umjesto da tiho prijavljuje ranjivosti i čeka koordinirani popravak, istraživač više puta javno objavljuje funkcionalni exploit kod, prisiljavajući Microsoft da reagira naknadno, a ne unaprijed. Prethodni unosi u ovoj seriji, uključujući slučajeve u kojima je isti istraživač objavio još jedan Windows zero-day dok je popravak još moguć, slijedili su isti ritam: prvo otkrivanje, zatim popravak, često znatno kasnije.
ShieldBreak nije čak ni jedini nedavni primjer ovog dinamizma koji se odvija u velikim razmjerima. Windows korisnici također su se morali nositi sa situacijama u kojima su dva zasebna Windows zero-dayja prijetila pristupom na razini sustava unutar istog kratkog razdoblja, što naglašava kako su greške eskalacije privilegija u temeljnim Windows komponentama postale trajna kategorija rizika, a ne rijedak događaj.
Zašto potpuno zakrpani PC nije potpuno zaštićeni PC
Vremenski okvir ovdje je važan. ShieldBreak se pojavio odmah nakon što je Microsoft objavio veliku seriju popravaka, ciklus Patch Tuesdayja koji je navodno riješio stotine zasebnih grešaka, sličan opsegu čišćenja opisanom kada je Microsoft zakrpao 421 grešku dok su napadači istovremeno ciljali drugu infrastrukturu. Takav opseg zakrpanja doista je koristan posao, ali također ilustrira temeljni problem s zero-day ranjivostima: one po definiciji postoje izvan ciklusa zakrpanja. Strojevi mogu biti u potpunosti usklađeni sa svim ažuriranjima koja je Microsoft izdao, a i dalje biti izloženi čim se objavi nova greška, jer proizvođač još nije imao vremena izraditi i isporučiti popravak.
Defender je posebno osjetljiva meta u ovom kontekstu. To je ugrađeni sigurnosni alat na koji se većina Windows korisnika oslanja prema zadanim postavkama, često bez razmišljanja, upravo zato što bi trebao biti posljednja linija obrane. Exploit koji pretvara sigurnosni alat u ulaznu točku za eskalaciju privilegija potkopava osnovnu pretpostavku da je održavanje Windowsa ažuriranim samo po sebi dovoljna zaštita. Pristup na razini SYSTEM-a, jednom ostvaren, učinkovito napadaču daje mogućnost da gotovo sve učini na stroju: instalira dodatni zlonamjerni softver, onemogući druge sigurnosne kontrole, pristupi pohranjenim vjerodajnicama ili se bočno kreće kroz mrežu.
Što to znači za vas
Za većinu kućnih korisnika i malih poduzeća ShieldBreak nije neposredan razlog za paniku. Za iskorištavanje je potreban lokalni pristup stroju, što ograničava način njegove tipične upotrebe u praksi, obično kao druga faza nakon što je napadač već stekao uporište putem krađe identiteta, zlonamjernog softvera ili druge ranjivosti. No šira implikacija ovog obrasca Windows zero-day ranjivosti vrijedna je ozbiljnog razmatranja: marljivo zakrpanje nužno je, ali više nije samo po sebi dovoljno za jamčenje zaštite od eskalacije privilegija.
Zato je slojevita obrana važnija od bilo koje pojedinačne kontrole. Održavanje softvera ažuriranim ostaje ključno, ali ga treba kombinirati sa snažnim praćenjem krajnjih točaka, ograničavanjem broja računa s administratorskim pravima te oprezom oko toga što se izvršava lokalno, budući da većina exploitova za eskalaciju privilegija prvo treba početnu ulaznu točku. Čitatelji koji pomno prate ovo područje mogu također pratiti stalne preglede ranjivosti, poput tjednog praćenja zero-day ranjivosti i zakrpa objavljenog u LeakWatchu, kako bi bili u tijeku s time koje su greške prešle iz proof-of-concepta u aktivno iskorištavanje.
Praktični zaključci
Iako za ShieldBreak još ne postoji popravak, postoje konkretni koraci koje vrijedi poduzeti odmah. Ograničite lokalna administrativna prava gdje god je to moguće, jer ovaj exploit i drugi slični njemu ovise o tome da napadač već ima određenu razinu pristupa stroju. Pratite Microsoftova priopćenja o popravku i primijenite ga čim postane dostupan, iako ovaj konkretni Windows zero-day dokazuje da samo zakrpanje nije potpuni štit. Izbjegavajte pokretanje nepoznatog ili nepotpisanog softvera, jer je početni pristup obično teži dio bilo kojeg lanca napada u stvarnom svijetu. A ako upravljate s više krajnjih točaka, razmotrite alate za otkrivanje na krajnjim točkama koji mogu označiti neobične promjene privilegija umjesto da se oslanjate isključivo na zadane postavke Defender-a.
ShieldBreak vjerojatno neće biti posljednje poglavlje ove priče. Sve dok istraživači nastavljaju objavljivati funkcionalne exploitove prije popravaka, Windows korisnicima je najbolje da sigurnost tretiraju kao kontinuiranu praksu, a ne kao okvir za označiti nakon svakog ciklusa ažuriranja.
