Исследователь опубликовал рабочий код эксплойта для непропатченной уязвимости Windows, которая предоставляет атакующему доступ уровня SYSTEM, и Microsoft сообщает, что ведёт расследование. Компания заявляет, что на данный момент атак не зафиксировано. Тем не менее публичный эксплойт для zero-day уязвимости Windows с доступом уровня SYSTEM меняет расклад: как только код становится общедоступным, другим становится проще его изучить, скопировать и адаптировать.
В этой статье рассказывается о том, что было сообщено, почему этот тип уязвимости важен и что разумно предпринять, пока вы ждёте исправления.
Что делает эксплойт для zero-day уязвимости Windows с доступом SYSTEM и что нам известно на данный момент
Сообщения кратки, поэтому вот что подтверждено:
- Исследователь опубликовал код эксплойта для уязвимости Windows.
- Уязвимость не пропатчена — именно это делает её zero-day.
- Успешная эксплуатация даёт доступ уровня SYSTEM — наивысший уровень привилегий на машине с Windows.
- Microsoft расследует проблему.
- Microsoft пока не зафиксировала атак с её использованием.
То, чего мы не знаем, не менее важно. В источнике не указано, какие версии Windows затронуты, назначена ли дата выпуска патча и насколько надёжен код в различных конфигурациях. Мы не будем строить догадки об этих деталях. Пока Microsoft не опубликует рекомендации, относитесь к любым заявлениям о масштабе с осторожностью.
Почему доступ SYSTEM важен даже без удалённой атаки
Уязвимости, предоставляющие доступ уровня SYSTEM, обычно описываются как ошибки повышения привилегий. Проще говоря, они позволяют тому, кто уже закрепился на компьютере — например, учётной записи с низкими привилегиями или вредоносной программе — получить гораздо больше контроля, чем положено. Сами по себе они не позволяют постороннему проникнуть в систему через интернет.
Это различие полезно, но не должно приводить к самоуспокоению. Контроль уровня SYSTEM может позволить атакующему отключить средства защиты, получить доступ к защищённым данным, изменить настройки и установить программное обеспечение, которое сохранится на устройстве. Атакующие часто объединяют уязвимости в цепочки: одна открывает им дверь — например, через вредоносную загрузку или фишинговое вложение, — а такая ошибка повышения привилегий вручает им ключи.
Таким образом, реалистичный риск для большинства людей является косвенным. Эксплойт наиболее важен, если на вашем устройстве уже что-то пошло не так, или если вы пользуетесь общим компьютером, рабочей машиной или запускаете программное обеспечение из источников, которым не полностью доверяете.
Как это вписывается в картину публичных релизов zero-day для Windows
Это не единичный случай. Исследователи неоднократно публиковали код эксплойтов для уязвимостей Windows до того, как Microsoft выпускала исправления, и мы освещали несколько таких случаев. Zero-day MiniPlasma также был связан с публично выпущенным proof-of-concept для проблемы повышения привилегий в Windows, предоставляющей доступ уровня SYSTEM. Другой случай касался исследователя с хорошо задокументированной историей публикации эксплойтов, как описано в нашем материале о том, как Nightmare Eclipse выпустил очередной zero-day для Windows.
Общая нить — разрыв между раскрытием информации и исправлением. Публичный код снижает усилия, необходимые другим для его доработки, даже если сам исследователь не намерен причинять вред. Именно поэтому заявление Microsoft об отсутствии атак обнадёживает, но носит временный характер. Оно описывает настоящее, а не даёт гарантий.
Что это значит для вас
Для большинства домашних пользователей паниковать не нужно. Этот тип уязвимости требует, чтобы атакующий уже выполнял код на вашей машине. Ваша лучшая защита — усложнить этот первый шаг и ограничить ущерб, если он произойдёт.
Если вы управляете компьютерами для семьи, малого бизнеса или команды, приоритет несколько выше. Общие машины и учётные записи с широкими разрешениями дают ошибке повышения привилегий больше возможностей. Следите за рекомендациями Microsoft и своевременно применяйте любые обновления или меры по смягчению последствий, как только они появятся.
Как снизить риск до выпуска патча Microsoft
Вы не можете установить исправление, которого ещё не существует, но можете уменьшить свою подверженность:
- Держите Windows Update включённым. Когда Microsoft выпустит патч, вы захотите получить его быстро. Также поддерживайте актуальность антивируса и другого программного обеспечения.
- Ограничьте административные учётные записи. Используйте стандартную учётную запись для повседневной работы и сохраняйте доступ администратора для задач, которые в нём нуждаются. Это снижает возможности вредоносных программ на начальном этапе.
- Избегайте недоверенных файлов. Остерегайтесь вложений в электронной почте, взломанного программного обеспечения, незнакомых загрузок и ссылок от неизвестных отправителей, поскольку это распространённые способы получить начальную точку опоры.
- Следите за официальными рекомендациями. Полагайтесь на собственные рекомендации Microsoft по мерам смягчения, а не на заявления третьих сторон или непроверенные исправления.
- Создавайте резервные копии важных данных. Недавняя резервная копия, хранящаяся офлайн или в отдельном месте, ограничивает ущерб от любой компрометации.
Главное
Публичный эксплойт для zero-day уязвимости Windows с доступом SYSTEM — это повод для разумной осторожности, а не для тревоги. Microsoft ведёт расследование и сообщает об отсутствии атак, но публичный код сокращает окно до того, как другие попытаются его использовать. Держите Windows Update включённым, ограничивайте административные учётные записи и избегайте недоверенных файлов, пока ждёте патча. Для получения дополнительного контекста о похожих недавних случаях читайте наши материалы об эксплойте уровня SYSTEM MiniPlasma и релизах Nightmare Eclipse.
