Une m\u00e9thode d’attaque pr\u00e9c\u00e9demment non d\u00e9tect\u00e9e appel\u00e9e Pas de filtre<\/strong> s’est av\u00e9r\u00e9 abuser de la plate-forme de filtrage Windows (PAM<\/a>) pour obtenir une \u00e9l\u00e9vation des privil\u00e8ges dans le syst\u00e8me d’exploitation Windows.<\/p>\n “Si un attaquant a la capacit\u00e9 d’ex\u00e9cuter du code avec des privil\u00e8ges d’administrateur et que la cible est d’effectuer LSASS Shtinkering<\/a>ces privil\u00e8ges ne suffisent pas \u00bb, a d\u00e9clar\u00e9 Ron Ben Yizhak, chercheur en s\u00e9curit\u00e9 chez Deep Instinct, \u00e0 The Hacker News.<\/p>\n “L’ex\u00e9cution en tant que “NT AUTHORITYSYSTEM” est requise. Les techniques d\u00e9crites dans cette recherche peuvent passer de l’administrateur au SYST\u00c8ME.”<\/p>\n Le r\u00e9sultats<\/a> ont \u00e9t\u00e9 pr\u00e9sent\u00e9s lors de la conf\u00e9rence sur la s\u00e9curit\u00e9 DEF CON au cours du week-end.<\/p>\n Le point de d\u00e9part de la recherche<\/a> est un outil interne appel\u00e9 RPC Mapper utilis\u00e9 par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 pour cartographier les appels de proc\u00e9dure \u00e0 distance (RPC<\/a>), en particulier celles qui appellent WinAPI<\/a>conduisant \u00e0 la d\u00e9couverte d’une m\u00e9thode nomm\u00e9e “BfeRpcOpenToken”, qui fait partie de WFP.<\/p>\n Le PAM est un ensemble d’API et de services syst\u00e8me<\/a> qui est utilis\u00e9 pour traiter le trafic r\u00e9seau et permettre la configuration de filtres qui autorisent ou bloquent les communications.<\/p>\n “La table de descripteurs d’un autre processus peut \u00eatre r\u00e9cup\u00e9r\u00e9e en appelant NtQueryInformationProcess<\/a>“, a d\u00e9clar\u00e9 Ben Yizhak. “Ce tableau r\u00e9pertorie les jetons d\u00e9tenus par le processus. Les descripteurs de ces jetons peuvent \u00eatre dupliqu\u00e9s pour qu’un autre processus passe \u00e0 SYSTEM.”<\/p>\n Alors que les jetons d’acc\u00e8s servent \u00e0 identifier l’utilisateur impliqu\u00e9 lors de l’ex\u00e9cution d’une t\u00e2che privil\u00e9gi\u00e9e, un logiciel malveillant s’ex\u00e9cutant en mode utilisateur peut acc\u00e9der aux jetons d’autres processus \u00e0 l’aide de fonctions sp\u00e9cifiques (par exemple, DuplicateToken ou DuplicateHandle), puis utiliser ce jeton pour lancer un processus enfant. avec les privil\u00e8ges SYSTEM.<\/p>\n Mais la technique susmentionn\u00e9e, selon la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, peut \u00eatre modifi\u00e9e pour effectuer la duplication dans le noyau via WFP, ce qui la rend \u00e0 la fois \u00e9vasive et furtive en ne laissant pratiquement aucune preuve ou journal.<\/p>\n En d’autres termes, le NoFilter peut lancer une nouvelle console en tant que “NT AUTHORITYSYSTEM” ou en tant qu’un autre utilisateur connect\u00e9 \u00e0 la machine.<\/p>\n “La conclusion est que de nouveaux vecteurs d’attaque peuvent \u00eatre trouv\u00e9s en examinant les composants int\u00e9gr\u00e9s du syst\u00e8me d’exploitation, tels que la plate-forme de filtrage Windows”, a d\u00e9clar\u00e9 Ben Yizhak, ajoutant que les m\u00e9thodes “\u00e9vitent WinAPI qui sont surveill\u00e9es par des produits de s\u00e9curit\u00e9”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/European-Bank-Customers-Targeted-in-SpyNote-Android-Trojan-Campaign.png\")
<\/a><\/center><\/section>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/China039s-APT31-Suspected-in-Attacks-on-Air-Gapped-Systems-in-Eastern.gif\")
<\/a><\/center><\/section>\n