Se ha observado que una laguna en la pol\u00edtica de Microsoft Windows es explotada principalmente por actores de amenazas nativos de habla china para falsificar firmas en controladores en modo kernel.<\/p>\n
“Los actores est\u00e1n aprovechando m\u00faltiples herramientas de c\u00f3digo abierto que alteran la fecha de firma de los controladores en modo kernel para cargar controladores maliciosos y no verificados firmados con certificados vencidos”, dijo Cisco Talos en un comunicado. exhaustivo informe en dos partes<\/a> compartido con The Hacker News. “Esta es una gran amenaza, ya que el acceso al kernel proporciona acceso completo a un sistema y, por lo tanto, un compromiso total”.<\/p>\n Tras la divulgaci\u00f3n responsable, Microsoft dicho<\/a> ha tomado medidas para bloquear todos los certificados para mitigar la amenaza. Afirm\u00f3 adem\u00e1s que su investigaci\u00f3n encontr\u00f3 que “la actividad se limit\u00f3 al abuso de varias cuentas de programas de desarrolladores y que no se ha identificado ning\u00fan compromiso de cuenta de Microsoft”.<\/p>\n El gigante tecnol\u00f3gico, adem\u00e1s de suspender las cuentas del programa de desarrolladores involucrados en el incidente, enfatiz\u00f3 que los actores de la amenaza ya hab\u00edan obtenido privilegios administrativos en los sistemas comprometidos antes del uso de los controladores.<\/p>\n Vale la pena se\u00f1alar que el fabricante de Windows implement\u00f3 protecciones de bloqueo similares en diciembre de 2022 para evitar que los atacantes de ransomware usen controladores firmados por Microsoft para la actividad posterior a la explotaci\u00f3n.<\/p>\n Aplicaci\u00f3n de la firma del conductor<\/a>que requiere que los controladores en modo kernel est\u00e9n firmados digitalmente con un certificado del Portal de desarrollo de Microsoft, es una l\u00ednea de defensa crucial contra los controladores maliciosos, que podr\u00edan convertirse en armas para evadir las soluciones de seguridad, alterar los procesos del sistema y mantener la persistencia.<\/p>\n La nueva debilidad descubierta por Cisco Talos hace posible falsificar firmas en controladores en modo kernel, lo que permite omitir las pol\u00edticas de certificados de Windows.<\/p>\n Esto es posible gracias a un excepci\u00f3n<\/a> creado por Microsoft para mantener la compatibilidad, lo que permite controladores con firma cruzada si estaban “firmados con un certificado de entidad final emitido antes del 29 de julio de 2015 que se encadena a un controlador con firma cruzada compatible”. [certificate authority].”<\/p>\n “La tercera excepci\u00f3n crea una laguna que permite que un controlador reci\u00e9n compilado se firme con certificados no revocados emitidos antes o vencidos antes del 29 de julio de 2015, siempre que el certificado se encadene a una autoridad de certificaci\u00f3n con firma cruzada admitida”, la empresa de seguridad cibern\u00e9tica. dicho.<\/p>\n Como resultado, no se impedir\u00e1 que un controlador firmado de esta manera se cargue en un dispositivo Windows, lo que permitir\u00e1 a los actores de amenazas aprovechar la cl\u00e1usula de escape para implementar miles de controladores firmados maliciosos sin enviarlos a Microsoft para su verificaci\u00f3n.<\/p>\n Estos controladores no autorizados se implementan utilizando un software de falsificaci\u00f3n de marca de tiempo de firma, como HookSignTool<\/a> y FuckCertVerifyTimeValidity<\/a>que han estado disponibles p\u00fablicamente desde 2019 y 2018, respectivamente.<\/p>\n Se puede acceder a HookSignTool a trav\u00e9s de GitHub desde el 7 de enero de 2020, mientras que FuckCertVerifyTimeValidity se comprometi\u00f3 por primera vez con el servicio de alojamiento de c\u00f3digo el 14 de diciembre de 2018.<\/p>\n “HookSignTool es una herramienta de falsificaci\u00f3n de firmas de controladores que altera la fecha de firma de un controlador durante el proceso de firma a trav\u00e9s de una combinaci\u00f3n de vinculaci\u00f3n a la API de Windows y alteraci\u00f3n manual de la tabla de importaci\u00f3n de una herramienta de firma de c\u00f3digo leg\u00edtima”, explic\u00f3 Cisco Talos.<\/p>\n En concreto, se trata de enganchar a la Funci\u00f3n CertVerifyTimeValidity<\/a>que verifica la validez temporal de un certificado, para cambiar la marca de tiempo de la firma durante la ejecuci\u00f3n.<\/p>\n “Este peque\u00f1o proyecto evita que signtool verifique [sic] la validez de la hora del certificado y le permite firmar su contenedor con un certificado obsoleto sin cambiar la hora del sistema manualmente”, se lee en la p\u00e1gina de GitHub para FuckCertVerifyTimeValidity.<\/p>\n \ud83d\udd10 Seguridad PAM: soluciones expertas para proteger sus cuentas confidenciales<\/p>\n <\/a><\/p>\n Este seminario web dirigido por expertos lo equipar\u00e1 con el conocimiento y las estrategias que necesita para transformar su estrategia de seguridad de acceso privilegiado.<\/p>\n Reserve su lugar<\/a><\/section>\n “Instale hook en crypt32!CertVerifyTimeValidity y haga que siempre devuelva 0 y haga que kernel32!GetLocalTime devuelva lo que desee, ya que puede agregar “-fuckyear 2011″ a la l\u00ednea de comando de signtool para firmar un certificado del a\u00f1o 2011”.<\/p>\n Dicho esto, lograr una falsificaci\u00f3n exitosa requiere un certificado de firma de c\u00f3digo no revocado emitido antes del 29 de julio de 2015, junto con el clave privada y contrase\u00f1a del certificado<\/a>.<\/p>\n Cisco Talos dijo que descubri\u00f3 m\u00e1s de una docena de certificados de firma de c\u00f3digo con claves y contrase\u00f1as contenidas en un archivo PFX alojado en GitHub en un repositorio bifurcado de FuckCertVerifyTimeValidity. No est\u00e1 claro de inmediato c\u00f3mo se obtuvieron estos certificados.<\/p>\n Adem\u00e1s, se ha observado que HookSignTool se ha utilizado para volver a firmar controladores descifrados con el fin de eludir las verificaciones de integridad de gesti\u00f3n de derechos digitales (DRM), con un actor llamado “Juno_Jr” lanzando una versi\u00f3n descifrada de PrimoCache, una soluci\u00f3n leg\u00edtima de almacenamiento en cach\u00e9 de software. , en un foro de descifrado de software chino el 9 de noviembre de 2022.<\/p>\n “En la versi\u00f3n crackeada […]el controlador parcheado se volvi\u00f3 a firmar con un certificado emitido originalmente a ‘Shenzhen Luyoudashi Technology Co., Ltd.’, que se encuentra en el archivo PFX en GitHub”, dijeron los investigadores de Talos. obst\u00e1culo importante al intentar eludir las comprobaciones de DRM en un controlador firmado”.<\/p>\n Eso no es todo. HookSignTool tambi\u00e9n est\u00e1 siendo utilizado por un controlador previamente no documentado identificado como RedDriver para falsificar su marca de tiempo de firma. Activo desde al menos 2021, funciona como un secuestrador de navegador basado en controladores que aprovecha la plataforma de filtrado de Windows (PMA<\/a>) para interceptar el tr\u00e1fico del navegador y redirigirlo a localhost (127.0.0.1).<\/p>\n El navegador de destino se elige al azar de una lista codificada que contiene los nombres de proceso de muchos navegadores populares en chino como Liebao, QQ Browser, Sogou y UC Browser, as\u00ed como Google Chrome, Microsoft Edge y Mozilla Firefox.<\/p>\n “Inicialmente encontr\u00e9 RedDriver mientras investigaba la falsificaci\u00f3n de la marca de tiempo del certificado en los controladores de Windows”, dijo a The Hacker News Chris Neal, investigador de divulgaci\u00f3n de Cisco Talos. “Fue una de las primeras muestras con las que me encontr\u00e9 que inmediatamente sospech\u00e9. Lo que me llam\u00f3 la atenci\u00f3n fue la lista de navegadores web almacenados dentro del archivo RedDriver”.<\/p>\n El objetivo final de esta redirecci\u00f3n del tr\u00e1fico del navegador no est\u00e1 claro, aunque no hace falta decir que se podr\u00eda abusar de dicha capacidad para manipular el tr\u00e1fico del navegador a nivel de paquete.<\/p>\n Las cadenas de infecci\u00f3n de RedDriver comienzan con la ejecuci\u00f3n de un binario llamado “DnfClientShell32.exe”, que, a su vez, inicia comunicaciones cifradas con un servidor de comando y control (C2) para descargar el controlador malicioso.<\/p>\n “No observamos la entrega del archivo inicial, pero es muy probable que el archivo se empaquetara para hacerse pasar por un archivo de juego y estuviera alojado en un enlace de descarga malicioso”, dijo Neal. “La v\u00edctima probablemente pens\u00f3 que estaba descargando un archivo de una fuente leg\u00edtima y ejecut\u00f3 el ejecutable. ‘DNFClient’ es el nombre de un archivo que pertenece a ‘Dungeon Fighter Online’, que es un juego extremadamente popular en China y com\u00fanmente conocido como ‘DNF .'”<\/p>\n “RedDriver probablemente fue desarrollado por actores de amenazas altamente calificados, ya que la curva de aprendizaje para desarrollar controladores maliciosos es empinada”, dijo Cisco Talos. “Si bien la amenaza parece apuntar a los hablantes nativos de chino, es probable que los autores tambi\u00e9n sean hablantes de chino”.<\/p>\n “Los autores tambi\u00e9n demostraron familiaridad o experiencia con los ciclos de vida del desarrollo de software, otro conjunto de habilidades que requiere experiencia previa en desarrollo”.<\/p>\n <\/p>\n![\"Firmas](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/07\/1689099642_87_Los-piratas-informaticos-aprovechan-la-laguna-de-la-politica-de.jpg\" "\\"Firmas")
<\/div>\n![\"Firmas](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/07\/1689099642_493_Los-piratas-informaticos-aprovechan-la-laguna-de-la-politica-de.jpg\" "\\"Firmas")
<\/div>\n