Nowy exploit 0-day z Rosji: zostań bogiem Windowsa za 90 tys

Nowy exploit 0-day z Rosji: zostań bogiem Windowsa za 90 tys. dolarów.
Na popularnym rosyjskim forum hakerskim exploit.in pojawiła się w maju ciekawa oferta użytkownika o pseudonimie BuggiCorp. Za skromne 90 tysięcy dolarów (płatne w bitcoinach) oferuje on każdemu zainteresowanemu sprawdzony atak 0-day na praktycznie wszystkie Windowsy NT, od wersji 2000 po najnowszą „dziesiątkę”. Uruchamiając go na już zdobytej maszynie dostaniemy prawdziwy God Mode, czyli możliwość uruchamiania procesów jako SYSTEM, konto z większymi uprawnieniami niż zwykły administrator. I wszystko wskazuje na to, że oferta wciąż jest ważna – aktualizacje wydane przez Microsoft niczego tu nie zmieniły.

Oczywiście żartujemy z tymi „skromnymi 90 tysiącami dolarów”. Tak naprawdę jest to jeden z droższych exploitów w historii, lecz jednak o cenie całkiem realnej, zweryfikowanej przez rynek. Skupujący exploity 0-day projekt Zerodium zwykle za exploity na Windows płaci ok. 30 tys. dolarów (dla porównania, exploity na iOS-a mogą kosztować nawet i pół miliona dolarów), ale ta oferta jest szczególna i powinna zainteresować przede wszystkim któregoś z dużych operatorów botnetów.

Luka w win32k.sys, związana z niewłaściwą obsługą obiektów okien, pozwala na zapisanie dowolnej wartości do dowolnego miejsca pamięci, pozwalając na obejście wszelkich mechanizmów ochronnych Windowsa, w tym ASLR i DEP. Co szczególnie bolesne, działa nawet przy włączonym zestawie EMET (narzędzi rozszerzonego środowiska ograniczającego ryzyko) i nie potrzebuje żadnego dodatkowego oprogramowania.

Sprzedawca zapewnia też, że nie są tu stosowane żadne niestabilne sztuczki, takie jak Return-Oriented Programming (ROP). Skorzystanie z exploitu pozwala więc na uruchomienie własnego kodu w trybie kernela (Ring0). W ten sposób więc każdy, kto uzyskał dostęp do zwykłego konta użytkownika, może teraz wyłączyć w systemie antywirusy, zmienić hasła administracyjne, zainstalować swoje rootkity. Co ciekawe, exploit miał zostać też przetestowany na serwerowych systemach Windows. Daje więc spore możliwości przejęcia systemów firm hostingowych, które udostępniają klientom konta o wysoce ograniczonych uprawnieniach do zarządzania serwerami WWW.

Jako że kod nie został upubliczniony, można by oczywiście sądzić, że takiego exploita nie ma, że to jedynie próba wyłudzenia pieniędzy od naiwnych cyberprzestępców. Wszystko jednak wskazuje na to, że mamy do czynienia z autentyczną gratką. Sprzedawca nie chce pieniędzy na swoje konto bitcoinowe, korzysta z gwarantowanego przez administratorów exploit.in systemu escrow – a więc pieniądze otrzyma dopiero wtedy, gdy nabywca potwierdzi, że jest zadowolony z zakupu. Zapewnia zarazem, że exploit zostanie sprzedany tylko raz i przedstawia klipy wideo demonstrujące działanie exploita na Windows 10, jak również obejście wszystkich zabezpieczeń najnowszego EMET 5.

Do tej pory Microsoft nie zareagował na to zagrożenie. Jeśli jednak w bliskiej przyszłości zobaczymy bardziej zjadliwe wersje takich pakietów exploitów jak Angler, to chyba będzie jasne, co je tak bardzo uzbroiło.

Kliknij aby rozwinąć...