0
(Immagine: file di foto)
Microsoft sostiene “non sono noti ransomware” essere eseguito su Windows 10 S, la sua più recente, incentrata sulla sicurezza del sistema operativo.
Il gigante del software ha annunciato la versione di Windows all’inizio di quest’anno come il fiore all’occhiello studente di sistema operativo basato sulla nave con la sua nuova Superficie del computer Portatile. Microsoft propagandato il sistema operativo ad essere meno sensibili alla ransomware a causa della sua bloccata configurazione — al punto in cui non è possibile eseguire qualsiasi tipo di app al di fuori di protezione, giardino recintato di suo app store. Per ottenere un’app approvato, è quello di passare attraverso rigorosi test per garantire la sua integrità. Questo è uno dei diversi fattori attenuanti che aiuta a proteggere il sistema operativo da file conosciuti-la crittografia di malware.
Abbiamo voluto vedere se tale affermazione audace poteva contenere fino.
Spoiler alert: non l’ha fatto.
La scorsa settimana il debutto di giorno, abbiamo messo le mani su un nuovo Superficie del computer Portatile, il primo dispositivo del suo genere per l’esecuzione di Windows 10 S. Abbiamo avviato , è andato attraverso il processo di installazione, creato un account offline, e installato una sfilza di eccezionale patch di sicurezza — come qualsiasi altro utente ordinario (si spera).
E che quando abbiamo chiesto a Matteo Hickey, un ricercatore di sicurezza e co-fondatore di cybersecurity ditta Hacker House, una domanda semplice: Si ransomware installare su questo sistema operativo?
Ci sono voluti un po ‘ più di tre ore al busto del sistema operativo, con vari livelli di sicurezza, ma c’è arrivato.
“Sono sinceramente sorpreso che fosse così facile,” ha detto in una chiamata, dopo il suo attacco. “Quando ho guardato il branding e il marketing per il nuovo sistema operativo, ho pensato che aveva ulteriormente migliorato. Avrei voluto più restrizioni sul tentativo di eseguire processi privilegiati, invece di essere ad un processo breve.”
Ma Windows 10 S presenta alcuni ostacoli. Non è solo limitato a memorizzare solo le app, ma non permette all’utente di eseguire tutto ciò che non è necessario. Questo significa che non si prompt dei comandi, nessun accesso a strumenti di scripting, e non ha accesso a PowerShell, un potente strumento spesso usato (e abusato) da parte di hacker. Se un utente tenta di aprire un divieto app, Windows prontamente dice l’utente che è off-limits. Linea di fondo: se non è in app store, che non verrà eseguito.
Cracking Windows 10 S è stato un compito più difficile di quanto ci aspettassimo.
Ma un comune punto d’attacco esiste. Hickey è stato in grado di sfruttare come Microsoft Word, disponibile per il download da app di Windows store, gestisce ed elabora le macro. Questi di solito piccolo script basato su programmi sono progettati per automatizzare le operazioni, ma sono anche comunemente utilizzati dagli autori di malware.
Ecco come lo ha fatto.
Hickey ha creato un malintenzionato, macro basato su documento di Word sul proprio computer che quando aprì gli avrebbe permesso di svolgere una riflessione DLL injection attack, che gli permette di bypassare l’app store di restrizioni da iniettare codice in un esistente, autorizzato processo. In questo caso, la Parola si è aperto con privilegi amministrativi attraverso il Task Manager di Windows’, un processo semplice dato offline account utente di default ha i privilegi di amministratore. (Hickey ha detto che il processo potrebbe anche essere automatizzato con una più ampia e dettagliata macro, se avesse avuto più tempo.)
Ma dato che i pericoli associati con le macro di Word “visualizzazione protetta” blocchi l’esecuzione delle macro quando viene scaricato un file da internet, o ricevuto come allegato e-mail. Per aggirare questa restrizione, Hickey scaricato il documento Word dannoso ha costruito da una condivisione di rete, Windows considera un percorso attendibile, dandogli il permesso di eseguire la macro così a lungo come ha permesso da un avviso barra nella parte superiore dello schermo. Il documento potrebbe facilmente punto di una freccia al bar, che informa l’utente di disattivare la modalità protetta per vedere il contenuto del documento, una comune tecnica di ingegneria sociale utilizzato in macro a base di ransomware. (Se ha accesso fisico al computer, che potrebbe avere anche eseguire il file da una chiavetta USB, ma avrebbe dovuto sbloccare manualmente il file dalle proprietà del file menu — facile quanto fare clic su una casella di controllo.)
Molti attivazione macro di Word dannoso documenti di chiedere all’utente di abilitare il contenuto, come si vede qui. (Immagine: ZDNet)
Una volta che le macro sono attivate, il codice viene eseguito — e dà l’accesso a una shell con privilegi di amministratore.
Da lì è stato in grado di scaricare una portata utilizzando Metasploit, un comune test di penetrazione del software, che collega il sistema operativo per il suo cloud-based server di comando e controllo, in modo efficace che gli permette di controllare in remoto il computer. Da lì, egli è stato in grado di ottenere il massimo livello di accesso “a sistema” i privilegi, con l’accesso a un livello di “sistema”e di processo utilizzando la stessa DLL metodo di iniezione.
Guadagnando il “sistema” di privilegi, aveva libero accesso remoto per l’intero computer.
“Da qui possiamo iniziare a girare le cose e off-antimalware, firewall, e ignorare sensibili file di Windows”, ha detto. Con pochi passaggi, il computer sarebbe stata del tutto vulnerabili e incapaci di difendersi da qualsiasi tipo di malware.
“Se volevo installare ransomware, che potrebbe essere caricati su,” ha detto. “Il gioco è finito.”
Per dimostrare il suo livello di accesso, mi ha mandato una schermata con il testo e la password della rete Wi-Fi che il computer è stato collegato a qualcosa disponibile solo a livello di “sistema”dei processi.
“Abbiamo preso in considerazione di lasciare il portatile e giocare a “AC/DC Thunderstruck’ in loop per voi ma noi non vogliamo turbare i vostri vicini di casa o di eventuali animali domestici!”, ha scherzato.
“Si potrebbe anche prendere qualcosa di simile a Locky, una DLL a base di ransomware, ed eseguirlo in modo che sarebbe crittografare tutti i file in documenti e la richiesta di una chiave di impostazione dello sfondo,” ha detto.
Anche se è stato dato il permesso, Hickey si fermò a corto di installazione del ransomware, citando il possibile rischio per gli altri dispositivi della rete. “Abbiamo provato il punto abbastanza,” ha detto. “Siamo in grado di fare quello che volevamo”, ha detto.
“SISTEMA” è il più alto livello di privilegi. È partita da qui. (Screenshot: Matteo Hickey)
Da popping la shell, che ha preso lui “una questione di minuti,” egli è stato in grado di ottenere la piena a livello di sistema l’accesso al sistema operativo in poche ore. “Questo perché sapevamo già di questi tipi di attacchi e questi tipi di tecniche, e sappiamo che ha lavorato per noi in passato”, ha detto.
Hickey non precedentemente divulgati o cosiddetta vulnerabilità zero-day di effettuare l’attacco, ma ha detto che questo attacco a catena potrebbe essere effettuato diversi altri modi.
Anche se Hickey utilizzato pubblicamente note tecniche che sono ampiamente conosciuto dagli esperti di sicurezza, tuttavia, ci privatamente informato Microsoft team di sicurezza del processo di attacco prima della pubblicazione.
Per parte sua, Microsoft ha respinto le accuse.
“Ai primi di giugno ci ha dichiarato che Windows 10 non era vulnerabile a qualsiasi ransomware, e sulla base delle informazioni che abbiamo ricevuto da ZDNet che affermazione è vera”, ha detto un portavoce. “Riconosciamo che i nuovi attacchi e malware emergono continuamente, che è il motivo per cui [ci] si sono impegnati a monitorare il panorama delle minacce e di lavoro con il responsabile di ricercatori per garantire che Windows 10 continua a fornire una maggiore sicurezza possibile per i nostri clienti.”
Questo hack non può essere stato il più bello o il più facile da avviare. Si potrebbe obiettare che la hack ha preso troppi passaggi che non sarebbe stato replicato nel mondo reale, e che in questo caso avrebbe fatto affidamento su entrambi i social engineering o accesso fisico al dispositivo, piuttosto che un’arma file per avviare con un doppio clic. Detto questo, gli hacker non sono noti a rinunciare, dopo poco più di tre ore di tastatura vulnerabilità.
Alla fine, Microsoft ha detto che “non sono noti ransomware” funziona sul sistema operativo, ma guadagnando il “sistema”a livello di accesso, abbiamo dimostrato che è possibile prendere il controllo del computer per installare ransomware.
Se c’è una lezione da imparare (e ripetuto più e più volte), è che nulla è unhackable.
In contatto con me in modo sicuro
Zack Whittaker può essere raggiunto in modo sicuro sul Segnale e WhatsApp al 646-755-8849, e la sua PGP impronte digitali per l’e-mail è: 4D0E 92F2 E36A EC51 DAAE 5D97 CB8C 15FA EB6C EEA5.
ZDNET INDAGINI
Governo USA ha spinto le ditte di tecnologia a portata di mano il codice sorgente
Al confine con gli stati UNITI, si aspettano di discriminazione, di detenzione, di ricerche, di interrogazione e di
Trapelato: TSA i documenti rivelano aeroporto di New York ondata di falle di sicurezza
Soddisfare le oscure tech broker che forniscono i dati alla NSA
Trump aiutanti’ uso di messaggi criptati può violare record legge
Un database non protetto foglie di off-the-grid energy clienti esposti
All’interno del terrore globale incagli che segretamente ombre milioni
Falle di sicurezza nel Pentagono server “probabile” sotto attacco da parte di hacker
Ha rivelato: Come si Amazon Kindle truffa fatto milioni di dollari
NOI subappaltatore del governo perdite riservate al personale militare di dati
0