Aggiornamenti recenti Aprile 23rd, 2024 2:00 PM
Set 19, 2016 Marco Schiaffino News, Tecnologia, Vulnerabilità 0
È uno di quei casi in cui la traduzione in italiano finisce per essere preferibile a quella originale in inglese. Secondo i ricercatori di CyberArk Labs, infatti, l’avvio di Windows in Safe Mode (che a casa nostra si chiama Modalità Provvisoria) di “safe” non avrebbe proprio niente.
Nello spiegare le possibili attrattive di questa funzione per i pirati informatici, gli analisti sottolineano le particolari caratteristiche della modalità provvisoria, che possono risultare molto “utili” per un pirata informatico.
La funzione è pensata per garantire l’avvio del sistema e, a questo scopo, esclude tutti i driver e i processi che non sono indispensabili per il suo funzionamento. Tra i processi esclusi, però, ci sono anche la maggior parte dei programmi antivirus su endpoint e alcuni servizi di Windows, tra cui Virtual Secure Module.
Un sistema avviato in modalità provvisoria, quindi, è più vulnerabile all’azione dei pirati informatici. Naturalmente questa constatazione non rappresenta un pericolo di per sé: l’ipotesi che qualcuno riesca a “forzare” un avvio in modalità provvisoria per poi attaccare il PC è infatti poco realistica.
La questione cambia quando si considera uno scenario in cui i cyber-criminali abbiano la possibilità di compromettere una singola macchina all’interno di una rete e la riavviino in modalità provvisoria per garantirsi un maggior margine di manovra.
Secondo i ricercatori di CyberArk Labs, i cyber-criminali potrebbero tranquillamente indurre l’utente a riavviare il computer in modalità provvisoria, ad esempio con un falso messaggio di sistema riguardante un aggiornamento.
Utilizzando un’interfaccia grafica personalizzata, inoltre, sarebbe anche possibile fare in modo che l’utilizzatore del computer non si accorga che la macchina sta usando la modalità provvisoria.
A questo punto, i pirati possono agire con estrema libertà, modificando o disattivando per esempio i programmi antivirus installati sulla macchina compromessa. Se infatti le chiavi di registro relative ai programmi di protezione non possono essere modificate in modalità normale, quando il computer è avviato in safe mode sono accessibili e possono essere alterate facilmente.
Il vero rischio, però, è che i cyber-criminali possano sfruttare la situazione per ottenere credenziali di accesso ad altre macchine all’interno della rete.
Questo è possibile con una tecnica di attacco chiamata “Pass the Hash”, conosciuta dal 1997. L’attacco sfrutta le caratteristiche del sistema di autenticazione dei sistemi Windows, che avvengono usando l’hash delle credenziali di accesso.
L’idea, in pratica è che se un attaccante è in grado di intercettare l’hash di username e password, può usarlo per accedere ai servizi disponibili senza dover per forza ricavare le credenziali originali.
Se nella memoria del computer è piuttosto facile trovare l’hash degli utenti che accedono localmente a quella macchina, quelle degli utenti all’interno della rete possono essere comunque ottenuti agendo sul processo lsass.exe.
Uno stratagemma che di solito viene bloccato sia dai software antivirus, sia da Virtual Secure Module. Come accennato in precedenza, però, l’avvio in modalità provvisoria disattiva entrambi.
I cyber-criminali, quindi, avrebbero la possibilità di eseguire con facilità quello che viene definito un “movimento laterale”, cioè compromettere ulteriori macchine e servizi di rete collegati al computer già infiltrato.
Siamo di fronte a una vulnerabilità grave di Windows? La logica direbbe di sì. Microsoft, a quanto pare, è però di altro avviso. Stando a quanto riportato nel blog di CyberArk Labs, infatti, dalle parti di Redmond hanno deciso che questo uso della modalità provvisoria non possa essere considerata una vulnerabilità.
Per sfruttarla, infatti, è necessario che il computer sia già stato in qualche modo infettato. Cosa che, evidentemente, considerano praticamente impossibile. Contenti loro…
Apr 05, 2024 0
Mar 15, 2024 0
Mar 07, 2024 0
Mar 06, 2024 0
Apr 23, 2024 0
Apr 23, 2024 0
Apr 22, 2024 0
Apr 22, 2024 0
Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Apr 12, 2024 0
Al Google Next ’24 abbiamo assistito a un interessante...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...Apr 22, 2024 0
Nel periodo compreso tra il 13 e il 19 aprile,...Apr 22, 2024 0
I cyber attacchi moderni riescono a colpire anche le...Apr 22, 2024 0
Il JPCERT Coordination Center, l’organizzazione...