Отмъщението на изследователя: Публикуван е експлойт за критична уязвимост в Windows поради бездействието на Microsoft

Изследовател в областта на сигурността е публикувал кода за експлойт от типа „нулев ден“ за Windows, наречен BlueHammer. Причината за тази радикална стъпка е конфликтът на специалиста с Центъра за реагиране на Microsoft (MSRC) по отношение на обработката на процеса на предоставената от него информация.

Изследователят, действащ под псевдонима Chaotic Eclipse, е публикувал кода на експлойта в платформата GitHub на 3-ти април.

Авторът изрази разочарование от отношението на ръководството на MSRC към предоставената от него преди това информация за инцидента и отказа по принцип да обясни техническите подробности на своя метод за разкриване на уязвимостта. Използването на уязвимостта позволява на локален нападател да повиши привилегиите си в системата до ниво SYSTEM и да получи разширени администраторски права. Междувременно Microsoft все още не е пуснала актуализация на сигурността, като предостави само коментар за важността на координираното разкриване на уязвимости.

Уил Дорман, водещ анализатор по сигурността в Tharros, потвърди, че експлойтът е работоспособен. Той обясни, че атаката представлява локализирано повишаване на привилегиите, което съчетава уязвимост от типа „време на проверка към време на използване“ (Time-of-Check to Time-of-Use, TOCTOU) и объркване на маршрутите. Този сложен метод дава на хакера достъп до базата данни Security Account Manager (SAM), където се съхраняват хешовете на паролите на локалните акаунти. В резултат на това е възможно да се стартира команден шел с максимални права и да се компрометира напълно компютърът.

В същото време авторът на кода Chaotic Eclipse и тестери от трети страни отбелязват наличието на грешки в експлойта, които могат да го направят нестабилен. По-конкретно, на платформата Windows Server кодът не предоставя пълните системни права, а само ги повишава до ниво администратор с искане за потвърждение. Дорман предполага, че раздразнението на автора може да е предизвикано от изискването на Microsoft да се приложи видео, демонстриращо хака.

Въпреки че уязвимостта изисква първоначален локален достъп, хакерите лесно могат да го получат предварително чрез социално инженерство или други софтуерни пробиви.