Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Velociraptor, tool per l’analisi forense digitale, è stato sfruttato per l’accesso remoto
Migrazione a Windows 11: le aziende devono affrontare molte sfide, ma qualsiasi ritardo è pericoloso
Android, più sicurezza con la verifica dell’identità sviluppatori
IoT, i dispositivi connessi sono ancora troppo esposti alle minacce: l’allarme di ACN
File Linux usati per furto di dati e spionaggio: la campagna di APT36

Microsoft tappa una falla di NTLM che può costare cara

Lug 12, 2017 Marco Schiaffino News, RSS, Vulnerabilità 0

Gli ultimi aggiornamenti di Windows correggono una vulnerabilità che permette di scardinare il sistema di autenticazione in rete locale.

Niente da fare: quando si pensa di aver tappato definitivamente una falla, si scopre che in qualche modo è sempre possibile sfruttarla. La regola viene confermata questa settimana da Microsoft, che nella consueta tornata di aggiornamenti per Windows ha dovuto mettere mano al suo sistema operativo per risolvere un problema che si pensava fosse ormai archiviato.

La sigla che ha turbato i sonni degli sviluppatori di Redmond è una vecchia conoscenza degli esperti di sicurezza: NTLM, cioè il sistema di autenticazione NT LAN Manager usato comunemente da Windows.

In passato, NTLM ha causato qualche grattacapo a causa di vecchie vulnerabilità che il sistema si portava dietro dalle vecchie versioni. Ora sono emerse due nuove vulnerabilità che mettono a rischio la sicurezza dell’intera rete.

La scoperta si deve alla società di sicurezza Preempt, che in un post sul blog ufficiale dell’azienda illustra le caratteristiche del tipo di attacco che è possibile portare sfruttando queste vulnerabilità.

La prima riguarda la possibilità che un pirata informatico sfrutti un server compromesso per rubare le credenziali di un amministratore e acquisire così il controllo dell’intero dominio.

L’attacco, come spiegano dalle parti di Preempt (e come mostrano nel video) è possibile grazie a una falla che permette di aggirare i sistemi di controllo del protocollo LDAP (che prevede la creazione di un certificato per ogni sessione) commutandolo in NTLM (che non prevede l’uso di un certificato digitale).

Secondo i ricercatori, sarebbe tutta colpa delle API di autenticazione di Windows, che consentono il downgrade da LDAP a NTLM e aprono quindi la strada al “giochetto” che consente di creare un nuovo profilo di amministratore sul Domain Controller, prendendo di fatto il controllo della rete.

La tecnica, grazie a una seconda vulnerabilità, permette anche di aggirare le protezioni integrate nel RDP Restricted-Admin (Remote Desktop Protocol in modalità “sicura”) che, almeno in teoria, non dovrebbe esporre le credenziali alla possibilità di un furto.

Condividi l'articolo