Un ricercatore ha rilasciato codice di exploit funzionante per una vulnerabilità di Windows non ancora corretta che consente a un attaccante di ottenere accesso SYSTEM, e Microsoft afferma di stare indagando. L'azienda riferisce di non aver finora rilevato attacchi. Tuttavia, un exploit pubblico per una zero-day di Windows con accesso SYSTEM cambia la tempistica: una volta che il codice è liberamente disponibile, è più facile per altri studiarlo, copiarlo e adattarlo.
Questo articolo illustra quanto è stato riportato, perché questo tipo di vulnerabilità è importante e cosa si può ragionevolmente fare in attesa di una correzione.
Cosa fa l'exploit zero-day di Windows con accesso SYSTEM e cosa sappiamo finora
Le informazioni riportate sono sintetiche, quindi ecco cosa è confermato:
- Un ricercatore ha pubblicato codice di exploit per una vulnerabilità di Windows.
- La vulnerabilità non è stata corretta, ed è questo che la rende una zero-day.
- Un exploit riuscito garantisce l'accesso SYSTEM, il livello di privilegio più elevato su una macchina Windows.
- Microsoft sta indagando sul problema.
- Microsoft non ha finora rilevato attacchi che la sfruttino.
Ciò che non sappiamo è altrettanto importante. La fonte non indica quali versioni di Windows siano interessate, se sia stata fissata una data per la patch o quanto il codice sia affidabile su configurazioni diverse. Non faremo supposizioni su questi dettagli. Finché Microsoft non pubblicherà un advisory, trattate con cautela qualsiasi affermazione sulla portata del problema.
Perché l'accesso SYSTEM è importante anche senza un attacco remoto
Le vulnerabilità che garantiscono l'accesso SYSTEM sono generalmente descritte come bug di escalation dei privilegi. In termini semplici, consentono a qualcuno che ha già una presenza su un computer, come un account con privilegi limitati o un malware, di ottenere molto più controllo di quanto dovrebbe avere. Di per sé, non permettono a un estraneo di entrare via internet.
Questa distinzione è utile, ma non dovrebbe indurre alla compiacenza. Il controllo a livello SYSTEM può consentire a un attaccante di disattivare strumenti di sicurezza, accedere a dati protetti, modificare impostazioni e installare software che persiste sul dispositivo. Gli attaccanti spesso concatenano i bug: uno li fa entrare dalla porta, ad esempio tramite un download malevolo o un allegato di phishing, e una vulnerabilità di escalation dei privilegi come questa consegna loro le chiavi.
Quindi il rischio realistico per la maggior parte delle persone è indiretto. L'exploit conta soprattutto se qualcos'altro è già andato storto sul vostro dispositivo, o se condividete un computer con altri, usate una macchina aziendale o eseguite software da fonti di cui non vi fidate completamente.
Come questo si inserisce nel pattern dei rilasci pubblici di zero-day di Windows
Non si tratta di un evento isolato. I ricercatori hanno ripetutamente pubblicato codice di exploit per vulnerabilità di Windows prima che Microsoft avesse distribuito le correzioni, e abbiamo trattato diversi di questi casi. La zero-day MiniPlasma riguardava anch'essa una proof-of-concept rilasciata pubblicamente per un problema di escalation dei privilegi di Windows che garantisce l'accesso SYSTEM. Un altro caso ha coinvolto un ricercatore con una storia ben documentata di pubblicazione di exploit, come trattato nel nostro articolo su come Nightmare Eclipse ha rilasciato un'altra zero-day di Windows.
Il filo conduttore è il divario tra la divulgazione e la correzione. Il codice pubblico riduce lo sforzo necessario ad altri per svilupparlo ulteriormente, anche quando il ricercatore originale non intende causare danni. Ecco perché la dichiarazione di Microsoft secondo cui non ha rilevato attacchi è rassicurante ma temporanea. Descrive il presente, non una garanzia.
Cosa significa per voi
Per la maggior parte degli utenti domestici, non c'è motivo di farsi prendere dal panico. Questo tipo di vulnerabilità richiede che un attaccante stia già eseguendo codice sulla vostra macchina. La vostra migliore protezione è rendere più difficile quel primo passo e limitare i danni se dovesse accadere.
Se gestite computer per una famiglia, una piccola impresa o un team, la priorità è un po' più alta. Macchine condivise e account con ampi permessi danno a un bug di escalation dei privilegi più margine di azione. Tenete d'occhio l'advisory di Microsoft e applicate tempestivamente qualsiasi aggiornamento o indicazione di mitigazione non appena sarà disponibile.
Come ridurre il rischio in attesa della patch di Microsoft
Non potete installare una correzione che non esiste ancora, ma potete ridurre la vostra esposizione:
- Tenete attivo Windows Update. Quando Microsoft rilascia una patch, volete installarla rapidamente. Mantenete inoltre aggiornati l'antivirus e gli altri software.
- Limitate gli account amministratore. Usate un account standard per il lavoro quotidiano e conservate l'accesso amministratore per le attività che lo richiedono. Questo riduce ciò che il malware può fare fin dall'inizio.
- Evitate i file non attendibili. Fate attenzione agli allegati email, al software piratato, ai download sconosciuti e ai link da mittenti sconosciuti, poiché sono modi comuni per ottenere quella presenza iniziale.
- Seguite le indicazioni ufficiali. Affidatevi agli advisory di Microsoft per le fasi di mitigazione anziché a dichiarazioni di terze parti o correzioni non verificate.
- Eseguite il backup dei dati importanti. Un backup recente conservato offline o in una posizione separata limita i danni di qualsiasi compromissione.
In conclusione
Un exploit pubblico zero-day di Windows con accesso SYSTEM è motivo di prudente cautela, non di allarme. Microsoft sta indagando e riferisce che non ci sono attacchi, ma il codice pubblico accorcia la finestra prima che altri tentino di usarlo. Tenete attivo Windows Update, limitate gli account amministratore ed evitate i file non attendibili in attesa di una patch. Per maggiori contesto su casi recenti simili, leggete la nostra copertura sull'exploit SYSTEM-level di MiniPlasma e sui rilasci di Nightmare Eclipse.
