Дослідник опублікував робочий код експлойту для невиправленої вразливості Windows, яка надає зловмиснику доступ рівня SYSTEM, і Microsoft заявляє, що розслідує це. Компанія повідомляє, що наразі не зафіксувала жодних атак. Однак публічний експлойт нульового дня Windows із доступом рівня SYSTEM змінює ситуацію: щойно код стає загальнодоступним, іншим легше його вивчати, копіювати та адаптувати.
У цій статті розглядається, що було повідомлено, чому цей тип вразливості має значення і що ви можете зробити, поки чекаєте на виправлення.
Що робить експлойт нульового дня Windows із доступом рівня SYSTEM і що нам відомо на цей момент
Повідомлення коротке, тому ось що підтверджено:
- Дослідник опублікував код експлойту для вразливості Windows.
- Вразливість не виправлена, що й робить її нульовим днем.
- Успішний експлойт надає доступ рівня SYSTEM — найвищий рівень привілеїв на машині Windows.
- Microsoft розслідує цю проблему.
- Microsoft поки не зафіксувала атак з її використанням.
Те, чого ми не знаємо, так само важливо. Джерело не вказує, які версії Windows уражені, чи встановлено дату випуску виправлення або наскільки надійний код у різних конфігураціях. Ми не будемо здогадуватися про ці деталі. Поки Microsoft не опублікує рекомендації, ставтеся до будь-яких тверджень про масштаб з обережністю.
Чому доступ рівня SYSTEM має значення навіть без віддаленої атаки
Вразливості, що надають доступ рівня SYSTEM, зазвичай описують як помилки підвищення привілеїв. Простими словами, вони дозволяють тому, хто вже має зачіпку на комп'ютері, наприклад обліковому запису з низькими привілеями або шкідливому програмному забезпеченню, отримати значно більше контролю, ніж належить. Самі по собі вони не дозволяють сторонній особі проникнути через інтернет.
Це розрізнення корисне, але не повинно призводити до самозаспокоєння. Контроль рівня SYSTEM може дозволити зловмиснику вимкнути засоби безпеки, отримати доступ до захищених даних, змінити налаштування та встановити програмне забезпечення, яке зберігається на пристрої. Зловмисники часто об'єднують вразливості в ланцюжок: одна дає їм змогу потрапити всередину, наприклад через шкідливе завантаження або фішингове вкладення, а така помилка підвищення привілеїв передає їм ключі.
Тож реалістичний ризик для більшості людей є непрямим. Експлойт має найбільше значення, якщо щось інше вже пішло не так на вашому пристрої, або якщо ви ділите комп'ютер з іншими, використовуєте робочу машину чи запускаєте програмне забезпечення з джерел, яким не повністю довіряєте.
Як це вписується в закономірність публічних релізів нульових днів Windows
Це не поодинокий випадок. Дослідники неодноразово публікували код експлойтів для вразливостей Windows до того, як Microsoft випускала виправлення, і ми висвітлювали кілька таких випадків. Нульовий день MiniPlasma також стосувався публічно оприлюдненого доказу концепції для проблеми підвищення привілеїв Windows, що надає доступ рівня SYSTEM. Інший випадок стосувався дослідника з добре задокументованою історією публікації експлойтів, як описано в нашому звіті про те, як Nightmare Eclipse опублікував черговий нульовий день Windows.
Спільна риса — розрив між розкриттям і виправленням. Публічний код знижує зусилля, потрібні іншим для подальшої роботи з ним, навіть коли початковий дослідник не має наміру завдати шкоди. Ось чому заява Microsoft про те, що вона не бачить атак, є заспокійливою, але тимчасовою. Вона описує теперішнє, а не дає гарантії.
Що це означає для вас
Для більшості домашніх користувачів немає потреби панікувати. Цей тип вразливості вимагає, щоб зловмисник уже виконував код на вашій машині. Ваш найкращий захист — ускладнити цей перший крок і обмежити шкоду, якщо це станеться.
Якщо ви керуєте комп'ютерами для сім'ї, малого бізнесу чи команди, пріоритет дещо вищий. Спільні машини та облікові записи з широкими дозволами дають вразливості підвищення привілеїв більше можливостей. Стежте за рекомендаціями Microsoft і своєчасно застосовуйте будь-які оновлення чи вказівки щодо пом'якшення, щойно вони з'являться.
Як знизити ризик, поки Microsoft не випустить виправлення
Ви не можете встановити виправлення, якого ще не існує, але можете зменшити свою вразливість:
- Тримайте Windows Update увімкненим. Коли Microsoft випустить виправлення, ви захочете отримати його швидко. Також підтримуйте антивірус та інше програмне забезпечення в актуальному стані.
- Обмежте адміністраторські облікові записи. Використовуйте стандартний обліковий запис для повсякденної роботи, а доступ адміністратора зберігайте для завдань, які його потребують. Це зменшує те, що шкідливе програмне забезпечення може зробити на початку.
- Уникайте ненадійних файлів. Будьте обережні з вкладеннями електронної пошти, зламаним програмним забезпеченням, незнайомими завантаженнями та посиланнями від невідомих відправників, оскільки це поширені способи отримати ту початкову зачіпку.
- Стежте за офіційними рекомендаціями. Покладайтеся на власні рекомендації Microsoft щодо кроків пом'якшення, а не на сторонні твердження чи неперевірені виправлення.
- Робіть резервні копії важливих даних. Нещодавня резервна копія, збережена офлайн або в окремому місці, обмежує шкоду від будь-якого компромісу.
Підсумок
Публічний експлойт нульового дня Windows із доступом рівня SYSTEM — це привід для розважливої обережності, а не для тривоги. Microsoft розслідує і повідомляє про відсутність атак, але публічний код скорочує вікно, перш ніж інші спробують його використати. Тримайте Windows Update увімкненим, обмежуйте адміністраторські облікові записи та уникайте ненадійних файлів, поки чекаєте на виправлення. Для отримання додаткового контексту щодо схожих недавніх випадків читайте наші матеріали про експлойт рівня SYSTEM MiniPlasma та релізи Nightmare Eclipse.
