Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

34 driver Windows permettono di ottenere il controllo dell’OS

Nov 03, 2023 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

La Threat Analysis Unit (TAU) di WMWWARE Carbon Black ha scoperto 34 driver vulnerabili di Windows che consentono l’accesso al firmware; sei di questi consentono l’accesso alla memoria kernel.

I driver individuati permettono a un attaccante senza privilegi di amministratore di ottenere il controllo totale del dispositivo e cancellare o compromettere il firmware, oppure ottenere privilegi più elevati.

“Sono disponibili numerosi driver per supportare hardware legacy in ogni industria, e alcuni di essi sono di aziende che hanno smesso di supportare il dispositivo da molto tempo” ha spiegato Takahiro Haruyama, uno dei ricercatori di TAU. Le imprese continuano a usare driver deprecati per supportare le loro operazioni e ciò comporta un vettore d’attacco molto pericoloso.

Credits: titima157- Depositphotos

Il problema è che Windows permette l’esecuzione anche dei driver kernel che hanno il certificato scaduto o revocato; ciò consente a un attaccante di disabilitare facilmente i software di sicurezza o installare bootkit.

Con l’aggiornamento di Windows 11 2022 i driver vulnerabili sono bloccati per default, ma, sottolinea Haruyama, affinché questo approccio sia efficace bisogna sapere prima quali sono i driver da bloccare.

La ricerca di TAU si è concentrata principalmente sull’individuare i driver WDF (Windows Driver Framework) e WDM (Windows Driver Model).

Per identificare tutti i driver vulnerabili i ricercatori hanno utilizzato un processo automatico basato su uno script IDAPython, linguaggio che sfrutta le API di IDA Pro per effettuare li reverse engineering del codice e, in questo caso, individuare le vulnerabilità. Al termine dell’analisi, TAU ha individuato 30 driver WDM e 4 driver WDF vulnerabili con accesso al firmware, inclusi alcuni di grandi produttori di chip e BIOS.

Il gruppo ha rilasciato una PoC dettagliata su come sfruttare una parte delle vulnerabilità per manomettere il firmware e alterarne il corretto funzionamento.

TAU ha individuato i bug a marzo e nello stesso periodo ha contattato i singoli vendor per informarli del problema. Soltanto due vendor hanno patchato le proprie vulnerabilità.

Haruayama spiega che nella lista non ci sono solo vecchi driver, ma anche quelli più recenti con certificati ancora validi. “È probabile che in futuro siano necessari approcci più completi rispetto all’attuale metodo del blocco usato da Microsoft” ha affermato il ricercatore. “Per esempio, prevenire il caricamento di driver firmati da certificati revocati bloccherà circa un terzo dei driver vulnerabili rivelati in questa ricerca“.

Condividi l'articolo