Aggiornamenti recenti Giugno 1st, 2023 9:30 AM
Set 19, 2016 Marco Schiaffino News, Tecnologia, Vulnerabilità 0
È uno di quei casi in cui la traduzione in italiano finisce per essere preferibile a quella originale in inglese. Secondo i ricercatori di CyberArk Labs, infatti, l’avvio di Windows in Safe Mode (che a casa nostra si chiama Modalità Provvisoria) di “safe” non avrebbe proprio niente.
Nello spiegare le possibili attrattive di questa funzione per i pirati informatici, gli analisti sottolineano le particolari caratteristiche della modalità provvisoria, che possono risultare molto “utili” per un pirata informatico.
La funzione è pensata per garantire l’avvio del sistema e, a questo scopo, esclude tutti i driver e i processi che non sono indispensabili per il suo funzionamento. Tra i processi esclusi, però, ci sono anche la maggior parte dei programmi antivirus su endpoint e alcuni servizi di Windows, tra cui Virtual Secure Module.
Tra le “applicazioni di terze parti” ci sono anche i software antivirus. Non male…
Un sistema avviato in modalità provvisoria, quindi, è più vulnerabile all’azione dei pirati informatici. Naturalmente questa constatazione non rappresenta un pericolo di per sé: l’ipotesi che qualcuno riesca a “forzare” un avvio in modalità provvisoria per poi attaccare il PC è infatti poco realistica.
La questione cambia quando si considera uno scenario in cui i cyber-criminali abbiano la possibilità di compromettere una singola macchina all’interno di una rete e la riavviino in modalità provvisoria per garantirsi un maggior margine di manovra.
Secondo i ricercatori di CyberArk Labs, i cyber-criminali potrebbero tranquillamente indurre l’utente a riavviare il computer in modalità provvisoria, ad esempio con un falso messaggio di sistema riguardante un aggiornamento.
Utilizzando un’interfaccia grafica personalizzata, inoltre, sarebbe anche possibile fare in modo che l’utilizzatore del computer non si accorga che la macchina sta usando la modalità provvisoria.
A questo punto, i pirati possono agire con estrema libertà, modificando o disattivando per esempio i programmi antivirus installati sulla macchina compromessa. Se infatti le chiavi di registro relative ai programmi di protezione non possono essere modificate in modalità normale, quando il computer è avviato in safe mode sono accessibili e possono essere alterate facilmente.
Il vero rischio, però, è che i cyber-criminali possano sfruttare la situazione per ottenere credenziali di accesso ad altre macchine all’interno della rete.
Questo è possibile con una tecnica di attacco chiamata “Pass the Hash”, conosciuta dal 1997. L’attacco sfrutta le caratteristiche del sistema di autenticazione dei sistemi Windows, che avvengono usando l’hash delle credenziali di accesso.
L’idea, in pratica è che se un attaccante è in grado di intercettare l’hash di username e password, può usarlo per accedere ai servizi disponibili senza dover per forza ricavare le credenziali originali.
Se nella memoria del computer è piuttosto facile trovare l’hash degli utenti che accedono localmente a quella macchina, quelle degli utenti all’interno della rete possono essere comunque ottenuti agendo sul processo lsass.exe.
Uno stratagemma che di solito viene bloccato sia dai software antivirus, sia da Virtual Secure Module. Come accennato in precedenza, però, l’avvio in modalità provvisoria disattiva entrambi.
I cyber-criminali, quindi, avrebbero la possibilità di eseguire con facilità quello che viene definito un “movimento laterale”, cioè compromettere ulteriori macchine e servizi di rete collegati al computer già infiltrato.
Siamo di fronte a una vulnerabilità grave di Windows? La logica direbbe di sì. Microsoft, a quanto pare, è però di altro avviso. Stando a quanto riportato nel blog di CyberArk Labs, infatti, dalle parti di Redmond hanno deciso che questo uso della modalità provvisoria non possa essere considerata una vulnerabilità.
Per sfruttarla, infatti, è necessario che il computer sia già stato in qualche modo infettato. Cosa che, evidentemente, considerano praticamente impossibile. Contenti loro…
Apr 13, 2023 0
Mar 31, 2023 0
Mar 21, 2023 0
Mar 07, 2023 0
Mag 31, 2023 0
Mag 30, 2023 0
Mag 29, 2023 0
Mag 26, 2023 0
Giu 01, 2023 0
Kaspersky ha pubblicato il suo Incident Response report,...Mag 31, 2023 0
A margine del Security Day, il principale evento dedicato...Mag 31, 2023 0
Lo scorso 3 maggio Discord ha annunciato...Mag 30, 2023 0
Veeam ha pubblicato i risultato del 2023 Ransomware Trends...Mag 30, 2023 0
Mandiant ha individuato un nuovo malware creato per colpire...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Mag 31, 2023 0
Lo scorso 3 maggio Discord ha annunciato...Mag 30, 2023 0
Mandiant ha individuato un nuovo malware creato per colpire...Mag 29, 2023 0
La carenza di esperti di sicurezza ha portato le imprese...Mag 26, 2023 0
Il ricercatore di sicurezza vdohney ha individuato e...Mag 25, 2023 0
La patch di Microsoft che avrebbe dovuto risolvere la...