Un m\u00e9todo de ataque previamente no detectado llamado Sin filtro<\/strong> se ha descubierto que abusa de la plataforma de filtrado de Windows (PMA<\/a>) para lograr la escalada de privilegios en el sistema operativo Windows.<\/p>\n “Si un atacante tiene la capacidad de ejecutar c\u00f3digo con privilegios de administrador y el objetivo es realizar LSASS Shtinkering<\/a>estos privilegios no son suficientes”, dijo Ron Ben Yizhak, investigador de seguridad de Deep Instinct, a The Hacker News.<\/p>\n “Se requiere ejecutar como “NT AUTHORITYSYSTEM”. Las t\u00e9cnicas descritas en esta investigaci\u00f3n pueden escalar de administrador a SISTEMA”.<\/p>\n El recomendaciones<\/a> fueron presentados en la conferencia de seguridad DEF CON durante el fin de semana.<\/p>\n El punto de partida de la investigaci\u00f3n<\/a> es una herramienta interna llamada RPC Mapper que la empresa de ciberseguridad utiliz\u00f3 para mapear llamadas de procedimientos remotos (RPC<\/a>) m\u00e9todos, espec\u00edficamente aquellos que invocan WinAPI<\/a>lo que llev\u00f3 al descubrimiento de un m\u00e9todo denominado “BfeRpcOpenToken”, que forma parte de WFP.<\/p>\n El PMA es un conjunto de API y servicios del sistema<\/a> que se utiliza para procesar el tr\u00e1fico de red y permitir configurar filtros que permitan o bloqueen las comunicaciones.<\/p>\n “La tabla de identificadores de otro proceso se puede recuperar llamando NtQueryInformationProcessNtQueryInformationProcess<\/a>“, dijo Ben Yizhak. “Esta tabla enumera los tokens retenidos por el proceso. Los identificadores de esos tokens se pueden duplicar para que otro proceso escale a SYSTEM”.<\/p>\n Si bien los tokens de acceso sirven para identificar al usuario involucrado cuando se ejecuta una tarea privilegiada, una pieza de malware que se ejecuta en modo de usuario puede acceder a tokens de otros procesos usando funciones espec\u00edficas (por ejemplo, DuplicateToken o DuplicateHandle) y luego usar ese token para iniciar un proceso secundario. con privilegios de SISTEMA.<\/p>\n Pero la t\u00e9cnica antes mencionada, seg\u00fan la firma de ciberseguridad, puede modificarse para realizar la duplicaci\u00f3n en el kernel a trav\u00e9s de WFP, haci\u00e9ndola evasiva y sigilosa al dejar apenas evidencia o registros.<\/p>\n En otras palabras, NoFilter puede iniciar una nueva consola como “NT AUTHORITYSYSTEM” o como otro usuario que haya iniciado sesi\u00f3n en la m\u00e1quina.<\/p>\n “La conclusi\u00f3n es que se pueden encontrar nuevos vectores de ataque examinando los componentes integrados del sistema operativo, como la plataforma de filtrado de Windows”, dijo Ben Yizhak, y agreg\u00f3 que los m\u00e9todos “evitan WinAPI que son monitoreados por productos de seguridad”.<\/p>\n <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgwAoxYDskfi-J01jeLkkPEZqHZy9bLaLX8kLNuruprE8YRTIB5EBEid3uvBbzR90H6IcIJgVhjn0srTxOZLXejyJ6Jz9ZP-lexe0SPTD7GA1oU6HgxduclFP4BBnHkKiVJ_bsnI7UWFpYdpeFEkKKy1rxI2i0Y5KObLKK-rA7YfSuph4A714RQKICG252V\/s728-e3650\/4.png\")
<\/a><\/center><\/section>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/China039s-APT31-Suspected-in-Attacks-on-Air-Gapped-Systems-in-Eastern.gif\")
<\/a><\/center><\/section>\n