Aggiornamenti recenti Maggio 17th, 2024 11:08 AM
Nov 03, 2023 Marina Londei In evidenza, News, RSS, Vulnerabilità 0
La Threat Analysis Unit (TAU) di WMWWARE Carbon Black ha scoperto 34 driver vulnerabili di Windows che consentono l’accesso al firmware; sei di questi consentono l’accesso alla memoria kernel.
I driver individuati permettono a un attaccante senza privilegi di amministratore di ottenere il controllo totale del dispositivo e cancellare o compromettere il firmware, oppure ottenere privilegi più elevati.
“Sono disponibili numerosi driver per supportare hardware legacy in ogni industria, e alcuni di essi sono di aziende che hanno smesso di supportare il dispositivo da molto tempo” ha spiegato Takahiro Haruyama, uno dei ricercatori di TAU. Le imprese continuano a usare driver deprecati per supportare le loro operazioni e ciò comporta un vettore d’attacco molto pericoloso.
Il problema è che Windows permette l’esecuzione anche dei driver kernel che hanno il certificato scaduto o revocato; ciò consente a un attaccante di disabilitare facilmente i software di sicurezza o installare bootkit.
Con l’aggiornamento di Windows 11 2022 i driver vulnerabili sono bloccati per default, ma, sottolinea Haruyama, affinché questo approccio sia efficace bisogna sapere prima quali sono i driver da bloccare.
La ricerca di TAU si è concentrata principalmente sull’individuare i driver WDF (Windows Driver Framework) e WDM (Windows Driver Model).
Per identificare tutti i driver vulnerabili i ricercatori hanno utilizzato un processo automatico basato su uno script IDAPython, linguaggio che sfrutta le API di IDA Pro per effettuare li reverse engineering del codice e, in questo caso, individuare le vulnerabilità. Al termine dell’analisi, TAU ha individuato 30 driver WDM e 4 driver WDF vulnerabili con accesso al firmware, inclusi alcuni di grandi produttori di chip e BIOS.
Il gruppo ha rilasciato una PoC dettagliata su come sfruttare una parte delle vulnerabilità per manomettere il firmware e alterarne il corretto funzionamento.
TAU ha individuato i bug a marzo e nello stesso periodo ha contattato i singoli vendor per informarli del problema. Soltanto due vendor hanno patchato le proprie vulnerabilità.
Haruayama spiega che nella lista non ci sono solo vecchi driver, ma anche quelli più recenti con certificati ancora validi. “È probabile che in futuro siano necessari approcci più completi rispetto all’attuale metodo del blocco usato da Microsoft” ha affermato il ricercatore. “Per esempio, prevenire il caricamento di driver firmati da certificati revocati bloccherà circa un terzo dei driver vulnerabili rivelati in questa ricerca“.
Mag 16, 2024 0
Mag 16, 2024 0
Mag 09, 2024 0
Mag 09, 2024 0
Mag 17, 2024 0
Mag 14, 2024 0
Mag 14, 2024 0
Mag 13, 2024 0
Mag 17, 2024 0
A quattro anni di distanza dall’ultima campagna...Mag 14, 2024 0
Dalla sua prima identificazione nell’aprile 2022 a...Mag 10, 2024 0
A partire dallo scorso gennaio e fino a metà marzo, MITRE...Mag 09, 2024 0
I sistemi Linux stanno diventando sempre più popolari e...Mag 08, 2024 0
Le aziende italiane continuano a essere uno degli obiettivi...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Mag 17, 2024 0
A quattro anni di distanza dall’ultima campagna...Mag 16, 2024 0
Ieri Google ha comunicato di aver risolto una...Mag 16, 2024 0
Nell’ultimo aggiornamento di sicurezza, Microsoft ha...Mag 14, 2024 0
Apple e Google hanno annunciato la disponibilità di...Mag 14, 2024 0
Dalla sua prima identificazione nell’aprile 2022 a...