Sierpniowe wydanie Patch Tuesday od Microsoftu naprawiło 421 luk w całej gamie produktów, ale jedna poprawka wyróżnia się spośród pozostałych. W tej liście znajduje się aktywnie wykorzystywana luka zero-day w Windows, która pozwala atakującemu, mającemu już dostęp do maszyny, podnieść swoje uprawnienia do poziomu systemowego. Jeśli odkładałeś aktualizacje systemu Windows, to jest miesiąc, w którym powinieneś przestać.
Co faktycznie robi luka zero-day z sierpniowego Patch Tuesday
Główna poprawka w tym miesięcznym wydaniu dotyczy luki eskalacji uprawnień w Windows, którą Microsoft potwierdza jako wykorzystywaną w środowisku naturalnym. W prostych słowach, błędy eskalacji uprawnień nie dają atakującemu kluczy do twoich drzwi wejściowych. Zamiast tego pozwalają komuś, kto już się dostał do środka – przez link phishingowy, złośliwe pobranie lub skompromitowane konto – cicho awansować z ograniczonego konta użytkownika do pełnej kontroli SYSTEM. Gdy to nastąpi, mogą wyłączać narzędzia zabezpieczające, instalować trwałe złośliwe oprogramowanie, odczytywać lub eksfiltrować pliki oraz przemieszczać się głębiej w sieci bez potrzeby szukania innej drogi wejścia.
To właśnie sprawia, że ta poprawka luki zero-day eskalacji uprawnień w Windows jest ważna, nawet jeśli nie przyciąga nagłówków tak jak błąd zdalnego wykonywania kodu. To drugi krok w łańcuchu ataku i często krok, który zamienia drobne włamanie w pełną kompromitację.
Dlaczego eskalacja uprawnień to problem prywatności, a nie tylko bezpieczeństwa
Łatwo zaklasyfikować błędy eskalacji uprawnień do kategorii „higiena IT" i przejść dalej, ale stawka dla prywatności jest realna. Gdy atakujący uzyska dostęp na poziomie SYSTEM, może ominąć uprawnienia, które normalnie chronią twoje zapisane hasła, tokeny sesji przeglądarki i lokalnie przechowywane pliki. Taki poziom dostępu jest dokładnie tym, czego potrzeba, aby masowo zbierać dane uwierzytelniające, cicho rejestrować naciśnięcia klawiszy lub instalować szpiegowskie oprogramowanie, które przetrwa prosty skan antywirusowy, ponieważ działa z tymi samymi uprawnieniami co sam Windows.
To ta sama kategoria błędu, która napędzała serię głośnych luk zero-day w Windows w ciągu ostatniego roku, w tym jedną powiązaną z rootkitem Lazarus, gdzie atakujący użyli podobnej techniki eskalacji do zainstalowania trwałego złośliwego oprogramowania na skompromitowanych systemach. Eskalacja uprawnień rzadko jest efektowną częścią ataku, ale często to ona decyduje, czy naruszenie pozostanie ograniczone, czy zamieni się w pełną operację kradzieży danych.
Kto jest zagrożony i jak wykorzystywany jest exploit
Zalecenie Microsoftu zauważa, że ta luka jest już wykorzystywana, co oznacza, że to nie jest teoretyczne ryzyko opisane w pracy badawczej. Każda niezałatana maszyna z Windows, domowa czy firmowa, jest potencjalnym celem, gdy atakujący ma już jakikolwiek początkowy dostęp, czy to przez e-mail phishingowy, pobranie typu drive-by, czy wcześniej skompromitowane konto.
To nie dzieje się w izolacji. Ten sam cykl Patch Tuesday, który naprawił tę lukę zero-day, nadszedł w trakcie szerszej fali aktywnego wykorzystywania zarówno punktów końcowych, jak i infrastruktury sieciowej, w tym bram VPN Cisco pod atakiem w tym samym okresie. Atakujący wyraźnie pracują nad oboma końcami problemu: włamują się do sieci przez urządzenia brzegowe, takie jak bramy VPN, a następnie używają błędów eskalacji uprawnień, takich jak ten, aby się okopać po wejściu. Badacze również utrzymują stałą presję na własne zabezpieczenia Windows, a narzędzia takie jak ShieldBreak pokazują, jak szybko nowe techniki eskalacji uprawnień mogą się pojawić nawet po wydaniu poprawki.
Co to oznacza dla ciebie
Dla większości zwykłych użytkowników ryzyko nie polega na tym, że ktoś zaatakuje konkretnie twój komputer znikąd. Ryzyko polega na tym, że ta luka stanie się jednym z ogniw łańcucha, który zaczyna się od czegoś bardziej zwyczajnego – e-maila phishingowego, złośliwego załącznika, skompromitowanej aplikacji – a kończy na atakującym, który uzyskuje znacznie większą kontrolę, niż powinno mu pozwolić to początkowe wejście. Łatanie zamyka ten drugi krok, co jest często najtańszą i najskuteczniejszą rzeczą, jaką możesz zrobić, aby ograniczyć szkody wynikające z inaczej rutynowego incydentu bezpieczeństwa.
Firmy i zespoły IT powinny traktować tę aktualizację z taką samą pilnością jak każdą aktywnie wykorzystywaną lukę, priorytetowo wdrażając ją na punktach końcowych, nawet jeśli szersze wdrożenie pozostałych 420 poprawek zajmie więcej czasu.
Jak załatać teraz i zmniejszyć ekspozycję
Poprawka jest prosta: zainstaluj jak najszybciej te miesięczne aktualizacje Windows przez Windows Update lub narzędzie do zarządzania poprawkami w twojej organizacji. Nie ma żadnego znaczącego obejścia dla luki eskalacji uprawnień, gdy już zostanie wykorzystana, więc sama poprawka jest główną obroną.
W oczekiwaniu na wdrożenie aktualizacji na wielu maszynach podstawowa higiena nadal ma znaczenie: ogranicz liczbę kont z uprawnieniami administratora, utrzymuj ochronę punktów końcowych aktywną i zaktualizowaną oraz bądź ostrożny z nieoczekiwanymi załącznikami lub linkami, ponieważ to zwykle w ten sposób atakujący zdobywają początkowy dostęp, który luka taka jak ta pomaga im rozszerzyć.
Ta miesięczna poprawka luki zero-day eskalacji uprawnień w Windows jest przypomnieniem, że nie każda niebezpieczna luka musi być egzotyczna, aby miała znaczenie. Wystarczy, że jest wykorzystywana, a ta już jest. Poświęć te dziesięć minut na zaktualizowanie systemu teraz, zamiast dowiadywać się później, co atakujący zrobił z dostępem, który zapewnia ta luka.
