Meer dan 40 fabrikanten lopen het risico op escalatie-aanvallen met privileges

We worden steeds technologischer geavanceerd, maar we lijken nog steeds in een slechte tijd te verkeren voor cyberbeveiliging. Een paar dagen geleden publiceerde het computerbeveiligingsbedrijf Eclypsium een zeer relevant rapport waarin het spreekt over Privilege Escalation Attacks.

Stuurprogramma's die kwetsbaar zijn voor escalatieaanvallen met bevoegdheden

Het cyberbeveiligingsbedrijf heeft een paar dagen geleden 'Screwed Drivers' uitgebracht , een rapport dat in de gemeenschap wordt herhaald.

Daarin wees Eclypsium op enkele kritieke tekortkomingen in het ontwerp van stuurprogramma's voor moderne apparaten.

Ze zeggen dat de fout zo kan worden misbruikt dat aanvallers privileges krijgen van Ring 3 tot Ring 0 , dat wil zeggen volledige privileges. Daarnaast worden naar schatting meer dan 40 fabrikanten in gevaar gebracht, waaronder Intel, Nvidia, ASUS of AMD .

In hun studie classificeerde Eclypsium drie verschillende klassen van privilege- escalatie- aanvallen die profiteren van controllers:

1. RWEverything (Read / Write All): hulpprogramma voor toegang tot alle hardware-interfaces via software. Het lijkt onschadelijk, maar met een ondertekend RWDrv.sys -stuurprogramma voor de kernelmodus kan het Ring 0- privileges bieden aan alle malware. LoJax (de eerste malware voor UEFI): LoJax is een tool die RWDrv.sys gebruikt om toegang te krijgen tot het SPI Flash-stuurprogramma. Hierdoor kan de configuratie van het UEFI BIOS naar believen worden gewijzigd. SlingShot (Honda): De Slingshot-aanval is een APT (Persistent Advanced Threat) die zijn eigen kwaadaardige stuurprogramma's gebruikt om anderen uit te buiten. Gebruik de MSR lezen / schrijven om de beveiliging te omzeilen en een rootkit op de machine te installeren.

De kern van de problemen is echter het protocol dat Windows gebruikt om stuurprogramma's te valideren en te gebruiken. Blijkbaar, zelfs als een controller een onvolledig, verouderd of verlopen certificaat heeft, wordt het toch vaak gebruikt. Zoals u zult begrijpen, is dit dodelijk als het wordt uitgebuit en hetzelfde cyberbeveiligingsbedrijf het heeft uitgelegd in zijn presentatie van DEF CON 27 .

Eclypsium werkt momenteel samen met veel van de risicobedrijven om deze storingen aan te pakken.

En jij, wat denk je van de toestand van de pc ? Denk je dat we beter of slechter zijn dan 15 jaar geleden? Deel uw ideeën hieronder.

TechPowerUp-lettertype