Августовский выпуск «вторника исправлений» от Microsoft устранил 421 уязвимость в линейке продуктов компании, но одно исправление выделяется среди остальных. В этом списке скрывается активно эксплуатируемая zero-day-уязвимость Windows, которая позволяет атакующему, уже получившему доступ к системе, повысить свои привилегии до уровня SYSTEM. Если вы откладывали обновления Windows, то этот месяц — время перестать это делать.
Что на самом деле делает августовская zero-day-уязвимость повышения привилегий
Главное исправление в этом выпуске направлено на уязвимость повышения привилегий Windows, которую Microsoft подтверждает как эксплуатируемую в дикой природе. Простыми словами, ошибки повышения привилегий не дают атакующему ключи от вашей входной двери. Вместо этого они позволяют тому, кто уже проник внутрь — через фишинговую ссылку, вредоносную загрузку или скомпрометированную учетную запись — незаметно повысить себя с ограниченной пользовательской учетной записи до полного контроля SYSTEM. Как только это происходит, он может отключать средства безопасности, устанавливать постоянные вредоносные программы, читать или выводить файлы и продвигаться глубже в сеть, не нуждаясь в другом способе доступа.
Именно поэтому этот патч для zero-day-уязвимости повышения привилегий в Windows важен, даже несмотря на то, что он не привлекает столько внимания, сколько ошибка удаленного выполнения кода. Это второй шаг в цепочке атак, и часто именно тот шаг, который превращает незначительное вторжение в полную компрометацию.
Почему повышение привилегий — это проблема конфиденциальности, а не только безопасности
Легко отнести ошибки повышения привилегий к категории «гигиена ИТ» и двигаться дальше, но ставки для конфиденциальности реальны. Как только атакующий получает доступ уровня SYSTEM, он может обойти разрешения, которые обычно защищают ваши сохраненные пароли, токены сеансов браузера и локально хранящиеся файлы. Именно такой уровень доступа необходим для массового сбора учетных данных, тихого перехвата нажатий клавиш или установки шпионского ПО, которое переживает простой антивирусный скан, потому что работает с теми же правами, что и сама Windows.
Это та же категория ошибок, которая подпитывала серию громких zero-day-уязвимостей Windows за последний год, включая одну, связанную с руткитом Lazarus, где атакующие использовали аналогичную технику повышения привилегий для установки постоянных вредоносных программ на скомпрометированные системы. Повышение привилегий редко бывает самой заметной частью атаки, но часто именно оно определяет, останется ли взлом локализованным или превратится в полномасштабную операцию по сбору данных.
Кто под угрозой и как используется эксплойт
В уведомлении Microsoft отмечается, что эта уязвимость уже эксплуатируется, а значит, это не теоретический риск из исследовательской работы. Любая непропатченная машина Windows, домашняя или корпоративная, является потенциальной целью, как только атакующий получает любой начальный доступ — через фишинговое письмо, загрузку «с лету» или ранее скомпрометированную учетную запись.
Это происходит не изолированно. Тот же цикл «вторника исправлений», который устранил эту zero-day-уязвимость, пришелся на более широкую волну активной эксплуатации как конечных точек, так и сетевой инфраструктуры, включая атаки на шлюзы Cisco VPN в тот же период. Атакующие явно работают с двух сторон проблемы: проникают в сети через периферийные устройства, такие как VPN-шлюзы, а затем используют ошибки повышения привилегий, подобные этой, чтобы закрепиться внутри. Исследователи также продолжают оказывать постоянное давление на собственную защиту Windows: такие инструменты, как ShieldBreak, демонстрируют, как быстро новые техники повышения привилегий могут появляться даже после выпуска патча.
Что это значит для вас
Для большинства обычных пользователей риск не в том, что кто-то нацелится на ваш конкретный компьютер внезапно. Риск в том, что эта ошибка станет одним из звеньев цепочки, которая начинается с чего-то более обыденного — фишингового письма, вредоносного вложения, скомпрометированного приложения — и заканчивается тем, что атакующий получает гораздо больше контроля, чем должен был позволить начальный доступ. Установка патча закрывает второй шаг, что часто является самым дешевым и эффективным способом ограничить ущерб от в остальном рядовой утечки безопасности.
Компании и ИТ-команды должны относиться к этому обновлению с той же срочностью, что и к любой активно эксплуатируемой ошибке, уделяя ему приоритет на всех конечных точках, даже если более широкое развертывание остальных 420 исправлений потребует больше времени для планирования.
Как установить патч сейчас и снизить риски
Исправление простое: установите обновления Windows этого месяца через Центр обновления Windows или инструмент управления патчами вашей организации как можно скорее. Для ошибки повышения привилегий после ее эксплуатации не существует значимых обходных путей, поэтому сам патч является основной защитой.
Пока вы ждете развертывания обновлений на парке машин, базовая гигиена по-прежнему важна: ограничьте количество учетных записей с правами администратора, держите защиту конечных точек активной и обновленной и будьте осторожны с неожиданными вложениями или ссылками, поскольку именно так атакующие обычно получают начальный доступ, который такая ошибка помогает расширить.
Августовский патч для zero-day-уязвимости повышения привилегий в Windows — это напоминание о том, что не каждая опасная ошибка должна быть экзотической, чтобы иметь значение. Достаточно, чтобы она эксплуатировалась, а эта уже эксплуатируется. Потратьте десять минут на обновление системы сейчас, а не узнавайте позже, что атакующий сделал с доступом, который предоставляет эта ошибка.
