Aggiornamenti recenti Maggio 8th, 2024 2:00 PM
Nov 03, 2023 Marina Londei In evidenza, News, RSS, Vulnerabilità 0
La Threat Analysis Unit (TAU) di WMWWARE Carbon Black ha scoperto 34 driver vulnerabili di Windows che consentono l’accesso al firmware; sei di questi consentono l’accesso alla memoria kernel.
I driver individuati permettono a un attaccante senza privilegi di amministratore di ottenere il controllo totale del dispositivo e cancellare o compromettere il firmware, oppure ottenere privilegi più elevati.
“Sono disponibili numerosi driver per supportare hardware legacy in ogni industria, e alcuni di essi sono di aziende che hanno smesso di supportare il dispositivo da molto tempo” ha spiegato Takahiro Haruyama, uno dei ricercatori di TAU. Le imprese continuano a usare driver deprecati per supportare le loro operazioni e ciò comporta un vettore d’attacco molto pericoloso.
Il problema è che Windows permette l’esecuzione anche dei driver kernel che hanno il certificato scaduto o revocato; ciò consente a un attaccante di disabilitare facilmente i software di sicurezza o installare bootkit.
Con l’aggiornamento di Windows 11 2022 i driver vulnerabili sono bloccati per default, ma, sottolinea Haruyama, affinché questo approccio sia efficace bisogna sapere prima quali sono i driver da bloccare.
La ricerca di TAU si è concentrata principalmente sull’individuare i driver WDF (Windows Driver Framework) e WDM (Windows Driver Model).
Per identificare tutti i driver vulnerabili i ricercatori hanno utilizzato un processo automatico basato su uno script IDAPython, linguaggio che sfrutta le API di IDA Pro per effettuare li reverse engineering del codice e, in questo caso, individuare le vulnerabilità. Al termine dell’analisi, TAU ha individuato 30 driver WDM e 4 driver WDF vulnerabili con accesso al firmware, inclusi alcuni di grandi produttori di chip e BIOS.
Il gruppo ha rilasciato una PoC dettagliata su come sfruttare una parte delle vulnerabilità per manomettere il firmware e alterarne il corretto funzionamento.
TAU ha individuato i bug a marzo e nello stesso periodo ha contattato i singoli vendor per informarli del problema. Soltanto due vendor hanno patchato le proprie vulnerabilità.
Haruayama spiega che nella lista non ci sono solo vecchi driver, ma anche quelli più recenti con certificati ancora validi. “È probabile che in futuro siano necessari approcci più completi rispetto all’attuale metodo del blocco usato da Microsoft” ha affermato il ricercatore. “Per esempio, prevenire il caricamento di driver firmati da certificati revocati bloccherà circa un terzo dei driver vulnerabili rivelati in questa ricerca“.
Mag 08, 2024 0
Mag 06, 2024 0
Mag 02, 2024 0
Apr 22, 2024 0
Mag 08, 2024 0
Mag 07, 2024 0
Mag 07, 2024 0
Mag 06, 2024 0
Mag 08, 2024 0
Le aziende italiane continuano a essere uno degli obiettivi...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft: tra...Mag 06, 2024 0
Gli scanner di vulnerabilità, ovvero i software usati per...Mag 03, 2024 0
Sempre più spesso si discute delle crescenti capacità...Apr 29, 2024 0
Lo United States Postal Service (USPS), l’agenzia...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Mag 08, 2024 0
Le aziende italiane continuano a essere uno degli obiettivi...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 07, 2024 0
A fine aprile i ricercatori di Kandji, piattaforma perMag 07, 2024 0
Gli attacchi di phishing non si fermano e i marchi...Mag 06, 2024 0
Questa settimana, il CERT-AGID ha identificato e analizzato...