Nuovo zero-day Windows 'Legacyhive' divulgato da un ricercatore arrabbiato

Uno zero-day Windows senza patch in vista

Un nuovo exploit zero-day per Windows è finito di dominio pubblico e Microsoft non ha ancora una correzione pronta. L'exploit, chiamato Legacyhive, è stato pubblicato da un ricercatore di sicurezza con lo pseudonimo Chaotic Eclipse, che a quanto pare si è stancato del modo in cui Microsoft gestisce le segnalazioni di vulnerabilità. Invece di attendere che il processo di divulgazione aziendale facesse il suo corso, il ricercatore ha diffuso direttamente i dettagli della falla, lasciando i sistemi Windows interessati esposti fino all'arrivo di una patch ufficiale.

A livello tecnico, Legacyhive è un exploit di escalation dei privilegi. Ciò significa che da solo non fornisce a un utente malintenzionato l'accesso iniziale a un computer, ma consente a chi ha già ottenuto un punto d'appoggio limitato su un sistema Windows (tramite phishing, malware o un altro punto d'ingresso) di elevare i propri permessi fino ad avere privilegi di amministratore completi. Una volta ottenuto l'accesso come amministratore, l'aggressore può fare quasi tutto su quella macchina: installare ulteriore software dannoso, disabilitare gli strumenti di sicurezza, leggere o sottrarre file e spostarsi lateralmente verso altri sistemi sulla stessa rete.

Perché questo tipo di fuga pubblica è importante

I bug di escalation dei privilegi raramente fanno notizia come le violazioni di dati che attirano i titoli, ma spesso sono il tassello mancante che trasforma un'intrusione minore in una compromissione completa. Un'email di phishing o un plugin del browser compromesso potrebbero dare all'aggressore solo un punto d'appoggio con diritti utente limitati. Una falla come Legacyhive rimuove del tutto quel limite, offrendo all'aggressore lo stesso livello di controllo che avrebbe un amministratore IT.

Il fatto che questo exploit sia stato diffuso pubblicamente, anziché segnalato in privato e corretto in silenzio, alza notevolmente la posta in gioco. Gli zero-day pubblici vengono tipicamente armati molto più rapidamente di quelli divulgati privatamente, perché gli aggressori non devono più scoprire la vulnerabilità da soli. Devono solo adattare il codice proof-of-concept già esistente. Fino a quando Microsoft non rilascerà una correzione, ogni macchina Windows priva di patch che esegue la configurazione interessata è un potenziale bersaglio.

Non si tratta di una preoccupazione ipotetica. Le vulnerabilità non corrette sono state ripetutamente il punto d'ingresso per incidenti costosi. Gli attacchi ransomware, ad esempio, iniziano spesso con gli aggressori che sfruttano proprio questo tipo di divario tra una compromissione di basso livello e il controllo totale del sistema, come visto in casi come l'incidente ransomware HSE all'ospedale di Tullamore, dove sia i dati sanitari che le operazioni ospedaliere sono stati messi a rischio. Allo stesso modo, violazioni su larga scala che coinvolgono dati personali sensibili, come la violazione di ShinyHunters che ha colpito Amazon One Medical, mostrano quanto velocemente l'accesso elevato possa tradursi in una massiccia esposizione di dati una volta che gli aggressori sono all'interno di una rete.

Le ricadute sulla privacy di un exploit a livello amministrativo

Dal punto di vista della privacy, un exploit che garantisce privilegi da amministratore è particolarmente preoccupante perché rimuove le consuete barriere che proteggono i dati personali su un dispositivo o una rete. Con il controllo amministrativo completo, un aggressore può aggirare le restrizioni di accesso ai file, leggere dati locali crittografati protetti solo da permessi a livello utente e installare strumenti di monitoraggio che catturano sequenze di tasti, credenziali e attività di navigazione. In una rete aziendale, un singolo endpoint compromesso con diritti di amministratore può diventare una rampa di lancio per accedere a unità condivise, database interni e registri dei clienti.

Anche le conseguenze finanziarie e legali di questo tipo di escalation non sono astratte. Le organizzazioni che non riescono a contenere rapidamente un'intrusione hanno dovuto affrontare costi elevati, come dimostrato dal pagamento del riscatto ransomware di Weil Gotshal, in cui gli aggressori che avevano ottenuto accesso sufficiente sono stati in grado di estrarre dati riservati dei clienti prima che venissero avanzate richieste di estorsione. Uno zero-day Windows come Legacyhive è esattamente il tipo di strumento che può consentire questo livello di accesso se finisce nelle mani sbagliate prima che sia disponibile una patch.

Cosa significa per te

Se sei un utente Windows comune, non c'è bisogno di farsi prendere dal panico. Legacyhive richiede che l'aggressore abbia già una qualche forma di accesso al tuo sistema prima di poter essere utilizzato, quindi una buona igiene della sicurezza informatica di base conta ancora enormemente. Evitare download sospetti, essere cauti con gli allegati email e mantenere aggiornato il resto del software riducono tutti le possibilità che un aggressore ottenga quel punto d'appoggio iniziale.

Per gli amministratori IT e le aziende, questo è un segnale più urgente. Fino a quando Microsoft non rilascerà una patch ufficiale, i team di sicurezza dovrebbero intensificare il monitoraggio di modifiche anomale dei privilegi, limitare il numero di account con diritti di amministratore permanenti e assicurarsi che gli strumenti di rilevamento degli endpoint siano configurati per segnalare i tentativi di escalation dei privilegi. Segmentare le reti in modo che una singola macchina compromessa non possa raggiungere facilmente i sistemi sensibili è anche una mitigazione pratica in attesa di una soluzione permanente.

Cosa fare concretamente

Mantieni attivo Windows Update e controlla la presenza di una patch per Legacyhive non appena Microsoft la rilascia. Riduci il numero di account utente con diritti di amministratore locale sia sui dispositivi personali che su quelli aziendali. Le aziende dovrebbero rivedere gli avvisi di rilevamento e risposta degli endpoint (EDR) per i tentativi di escalation dei privilegi nelle prossime settimane. Rimanere vigili contro i tentativi di phishing rimane uno dei modi più semplici per impedire agli aggressori di ottenere l'accesso iniziale che renderebbe pericoloso questo zero-day Windows. Come per qualsiasi vulnerabilità non corretta, pazienza e rafforzamento proattivo sono la migliore difesa fino all'arrivo di una correzione ufficiale.