Badacz opublikował działający kod exploita dla niezałatanej luki w Windows, która daje atakującemu dostęp na poziomie SYSTEM, a Microsoft twierdzi, że prowadzi dochodzenie. Firma podaje, że jak dotąd nie zaobserwowała żadnych ataków. Niemniej jednak publicznie dostępny exploit zero-day w Windows dający dostęp SYSTEM zmienia harmonogram: gdy kod jest swobodnie dostępny, innym łatwiej go zbadać, skopiować i zaadaptować.

Ten artykuł omawia to, co zostało zgłoszone, dlaczego rodzaj luki ma znaczenie oraz co można rozsądnie zrobić w oczekiwaniu na poprawkę.

Co robi exploit zero-day w Windows dający dostęp SYSTEM i co wiemy do tej pory

Doniesienia są zwięzłe, więc oto co zostało potwierdzone:

  • Badacz opublikował kod exploita dla luki w Windows.
  • Luka jest niezałatana, co czyni ją luką zero-day.
  • Skuteczny exploit daje dostęp na poziomie SYSTEM, najwyższym poziomie uprawnień na maszynie z Windows.
  • Microsoft prowadzi dochodzenie w tej sprawie.
  • Microsoft nie zaobserwował dotąd ataków wykorzystujących tę lukę.

To, czego nie wiemy, jest równie ważne. Źródło nie podaje, które wersje Windows są dotknięte, czy wyznaczono datę poprawki ani jak niezawodny jest kod w różnych konfiguracjach. Nie będziemy zgadywać tych szczegółów. Dopóki Microsoft nie opublikuje biuletynu, do wszelkich twierdzeń o zasięgu należy podchodzić ostrożnie.

Dlaczego dostęp SYSTEM ma znaczenie nawet bez ataku zdalnego

Luki dające dostęp SYSTEM są ogólnie opisywane jako błędy eskalacji uprawnień. Mówiąc prosto, pozwalają komuś, kto już ma przyczółek na komputerze, na przykład kontu z niskimi uprawnieniami lub złośliwemu oprogramowaniu, przejąć znacznie większą kontrolę, niż powinien mieć. Same w sobie nie pozwalają obcej osobie włamać się przez internet.

To rozróżnienie jest przydatne, ale nie powinno prowadzić do samozadowolenia. Kontrola na poziomie SYSTEM może pozwolić atakującemu wyłączyć narzędzia zabezpieczające, uzyskać dostęp do chronionych danych, zmienić ustawienia i zainstalować oprogramowanie, które utrzymuje się na urządzeniu. Atakujący często łączą błędy w łańcuchy: jeden wprowadza ich do środka, na przykład przez złośliwe pobranie lub załącznik phishingowy, a luka eskalacji uprawnień, taka jak ta, wręcza im klucze.

Realistyczne ryzyko dla większości ludzi jest więc pośrednie. Exploit ma największe znaczenie, jeśli coś innego już poszło nie tak na twoim urządzeniu, jeśli dzielisz komputer z innymi, używasz maszyny służbowej lub uruchamiasz oprogramowanie ze źródeł, którym nie do końca ufasz.

Jak wpisuje się to w wzorzec publicznych ujawnień luk zero-day w Windows

To nie jest odosobnione zdarzenie. Badacze wielokrotnie publikowali kod exploita dla luk w Windows, zanim Microsoft wydał poprawki, i omawialiśmy kilka takich przypadków. Luka zero-day MiniPlasma również dotyczyła publicznie udostępnionego proof-of-concept dla problemu eskalacji uprawnień w Windows dającego dostęp SYSTEM. Inny przypadek dotyczył badacza z dobrze udokumentowaną historią publikowania exploitów, co opisaliśmy w naszym raporcie o tym, jak Nightmare Eclipse ujawnił kolejną lukę zero-day w Windows.

Wspólnym wątkiem jest luka między ujawnieniem a poprawką. Publiczny kod obniża wysiłek potrzebny innym do zbudowania na nim czegoś, nawet gdy pierwotny badacz nie ma złych intencji. Dlatego oświadczenie Microsoftu, że nie widzi ataków, jest pocieszające, ale tymczasowe. Opisuje teraźniejszość, a nie gwarancję.

Co to oznacza dla ciebie

Dla większości użytkowników domowych nie ma potrzeby panikować. Ten rodzaj luki wymaga, aby atakujący już uruchamiał kod na twojej maszynie. Najlepszą ochroną jest utrudnienie tego pierwszego kroku i ograniczenie szkód, jeśli do niego dojdzie.

Jeśli zarządzasz komputerami dla rodziny, małej firmy lub zespołu, priorytet jest nieco wyższy. Wspólne maszyny i konta z szerokimi uprawnieniami dają błędowi eskalacji uprawnień więcej możliwości. Śledź biuletyny Microsoftu i niezwłocznie stosuj wszelkie wytyczne dotyczące aktualizacji lub środków zaradczych, gdy się pojawią.

Jak ograniczyć ryzyko do czasu wydania poprawki przez Microsoft

Nie można zainstalować poprawki, która jeszcze nie istnieje, ale można zmniejszyć ekspozycję:

  1. Utrzymuj Windows Update włączone. Gdy Microsoft wyda poprawkę, chcesz ją mieć szybko. Aktualizuj też antywirusa i inne oprogramowanie.
  2. Ogranicz konta administratora. Do codziennej pracy używaj konta standardowego, a dostęp administratora zachowaj do zadań, które go wymagają. To ogranicza to, co złośliwe oprogramowanie może zrobić na starcie.
  3. Unikaj niezaufanych plików. Uważaj na załączniki e-mail, łamane oprogramowanie, nieznane pliki do pobrania i linki od nieznanych nadawców, ponieważ są to częste sposoby zdobycia tego początkowego przyczółka.
  4. Śledź oficjalne wytyczne. Opieraj się na biuletynach samego Microsoftu w kwestii środków zaradczych, a nie na twierdzeniach stron trzecich lub niezweryfikowanych poprawkach.
  5. Twórz kopie zapasowe ważnych danych. Świeża kopia zapasowa przechowywana offline lub w osobnym miejscu ogranicza szkody wynikające z ewentualnego naruszenia.

Podsumowanie

Publicznie dostępny exploit zero-day w Windows dający dostęp SYSTEM to powód do rozsądnej ostrożności, a nie do alarmu. Microsoft prowadzi dochodzenie i podaje, że nie ma ataków, ale publiczny kod skraca okno, zanim inni spróbują go wykorzystać. Utrzymuj Windows Update włączone, ogranicz konta administratora i unikaj niezaufanych plików w oczekiwaniu na poprawkę. Aby uzyskać więcej kontekstu na temat podobnych niedawnych przypadków, przeczytaj nasze materiały o exploicie na poziomie SYSTEM MiniPlasma oraz o wydaniach Nightmare Eclipse.