0-day HiveLegacy в Windows: чем опасна уязвимость и как защититься на фоне рекордного Patch Tuesday

Новая 0-day уязвимость в Windows появилась в самый неудобный момент: в один день с рекордным по объёму пакетом патчей Microsoft исследователь под псевдонимом NightmareEclypse опубликовал рабочий эксплойт-код, который позволяет учётной записи Windows с ограниченными правами вносить критические изменения в аккаунт администратора. Об этом сообщил Дэн Гудин из Ars Technica. Эксплойт называется HiveLegacy, несколько независимых исследователей уже подтвердили, что он работает, и Microsoft снова в спешке закрывает 0-day.

Это девятый публичный эксплойт от того же анонимного автора, который открыто критикует Microsoft за то, как компания обрабатывает его отчёты об уязвимостях. Опубликованный код доказательства концепции (PoC) намеренно урезан, чтобы затруднить его использование во вред. Но специалисты предупреждают: продвинутый злоумышленник восстановит недостающие детали без особого труда.

Что такое 0-day и почему HiveLegacy не рядовой баг

0-day это уязвимость, для которой на момент её раскрытия ещё нет официального патча от вендора. Отсюда и повышенная опасность: защищаться приходится обходными мерами, пока производитель готовит исправление. Новая 0-day уязвимость в Windows HiveLegacy относится к классу elevation-of-privilege (EoP, повышение привилегий) и атакует Windows User Profile Service: системную службу, которая отвечает за загрузку профилей пользователей при входе.

Смысл атаки в том, что пользователь с ограниченными правами может скомпрометировать аккаунт администратора, изменив его classes registry hive. Если по-русски это «куст реестра», который определяет, какое приложение открывается при клике на файл того или иного типа в Проводнике. Управляя этим кустом для чужого аккаунта, атакующий закладывает мину: нужное ему приложение или код запустятся уже в контексте жертвы.

Как работает атака: реестр, служба профилей и права SYSTEM

Техническое ядро уязвимости: в моменте входа. Когда в систему заходит новый пользователь, Windows должна загрузить его class hive. Но раз пользователь ещё формально не вошёл, куст загружается в контексте NT AUTHORITY\SYSTEM: то есть с максимально высокими правами в системе. Именно это окно и эксплуатирует HiveLegacy.

В текущем виде эксплойту нужны учётные данные ещё одной учётной записи (не обязательно администраторской) и имя третьей учётной записи на машине. Как минимум это уже даёт непривилегированному пользователю возможность менять реестр, связанный с админ-аккаунтом. Уилл Дорман из Tharros Labs объясняет логику так:

Если я могу настроить систему так, чтобы мой код запускался при входе администратора, мне не нужно самому быть админом.

По его оценке, возможность непривилегированного пользователя изменять classes registry hive администратора, «довольно мощный примитив». Продвинутые атакующие, считает он, легко придумают, как выстроить сценарий поинтереснее и даже вовсе без взаимодействия с пользователем. Эксплойт потенциально можно связать в цепочку (chain) с другой уязвимостью, дающей прямой доступ к админ-аккаунту.

Почему EoP-уязвимости опаснее, чем кажутся

На первый взгляд повышение привилегий выглядит безобидно: чтобы им воспользоваться, нужен начальный доступ к машине. Но именно в этом и подвох. EoP становится смертельным в связке с другими дырами. Типичный сценарий современной атаки выглядит так:

1. Фишинговое письмо или заражённый файл дают злоумышленнику вход под ограниченной учёткой.
2. С помощью EoP-уязвимости вроде HiveLegacy он поднимает права до администратора или SYSTEM.
3. Дальше: полный контроль над машиной: установка вредоноса, кража данных, продвижение по сети.

Именно поэтому цепочки эксплойтов ценятся у атакующих гораздо выше одиночных уязвимостей. HiveLegacy как раз то недостающее звено, которое превращает «незначительный» первичный доступ в компрометацию всей системы.

Кому реально грозит HiveLegacy

Больше всего рискуют машины с несколькими учётными записями. Это корпоративные ПК, терминальные серверы, общие рабочие станции и любые устройства, где локально заведено несколько аккаунтов. Домашнему пользователю с единственной учёткой без пароля на второй профиль эксплуатировать нечего, но в организациях таких конфигураций сколько угодно.

Рекордный Patch Tuesday: почему дыр всё больше

HiveLegacy вышел не в вакууме, а в тот самый вторник, когда Microsoft закрыла рекордное число уязвимостей. Число CVE в ежемесячных пакетах растёт год к году, и у этого есть обратная сторона: чем больше обновлений, тем выше шанс, что пользователи и админы начнут их откладывать. «Усталость от патчей», реальная проблема, и именно из-за неё автоматическое обновление сегодня ценнее ручного контроля.

Скандал вокруг раскрытия уязвимости

NightmareEclypse публикует эксплойты, минуя стандартную процедуру. Здесь сталкиваются два подхода к раскрытию.

Скоординированное раскрытие

Скоординированное раскрытие (coordinated disclosure), когда исследователь сообщает о баге вендору и ждёт патча перед публикацией. Microsoft заявила, что знает об отчёте, расследует его и подчёркивает свою приверженность именно такому подходу.

Полное раскрытие

Полное раскрытие (full disclosure), когда детали выкладывают публично, чтобы вынудить производителя реагировать быстрее. Аргумент исследователей в том, что публичность, единственный рычаг, когда вендор, по их мнению, тянет с исправлениями. Кто здесь прав: вопрос спорный, но факт остаётся фактом: рабочий эксплойт уже в открытом доступе, а официального патча на момент публикации нет.

Как защититься от 0-day уязвимости в Windows: чек-лист

Пока Microsoft готовит исправление, источник рекомендует конкретные шаги. Для администраторов и продвинутых пользователей:

• Запустить скрипт обнаружения от независимого исследователя Кевина Бомонта, он выявляет признаки эксплуатации.
• Ограничить создание локальных не-пользовательских учётных записей.
• Мониторить службу ProfSvc на предмет неожиданных загрузок кустов реестра.
• Отслеживать активность файлов NTUSER.DAT и UsrClass.dat.

Рядовому пользователю Windows поможет базовая гигиена, которая закрывает большинство подобных сценариев ещё на первом шаге:

• Не работайте под администратором в повседневных задачах, принцип наименьших привилегий лишает атакующего удобной точки входа.
• Ставьте обновления Windows сразу, как они выходят, и не отключайте автообновление.
• Держите включённым антивирус или EDR.
• Не запускайте чужие и непроверенные файлы: именно они чаще всего дают злоумышленнику тот первичный доступ, без которого HiveLegacy бесполезен.

А VPN здесь при чём

Честно: 0-day уязвимость в Windows вроде HiveLegacy закрывается патчами и правильной настройкой прав, а не VPN. Никакой туннель не помешает локальному эксплойту повышения привилегий. Но общий принцип информационной безопасности, снижать поверхность атаки, работает везде. Меньше открытых сервисов, меньше перехватываемого трафика, меньше данных, которые утекают в чужие руки на этапе первичной разведки. Если вам важна приватность и защищённый доступ, посмотреть в сторону Sigma имеет смысл, но обновлять Windows это не отменяет.

Источники

Ars Technica, о выходе 0-day HiveLegacy в день рекордного Patch Tuesday