本文來自GoUpSec。
黑帽大會曝出一種降級攻擊，可復(fù)活數(shù)以千計的Windows漏洞，對Windows系統(tǒng)實(shí)施隱蔽、持久、不可逆轉(zhuǎn)的攻擊，且目前沒有緩解措施。
在本周舉行的黑帽大會（Black Hat 2024）上，安全研究員Alon Leviev曝光了一個微軟Windows操作系統(tǒng)的“超級漏洞”，該漏洞使得攻擊者可以利用微軟更新進(jìn)程實(shí)施降級攻擊，“復(fù)活”數(shù)以千計的微軟Windows漏洞，即便是打滿補(bǔ)丁的Windows11設(shè)備也將變得千瘡百孔，脆弱不堪。
把微軟的更新服務(wù)變成“超級木馬”
在與微軟協(xié)調(diào)后，Leviev在黑帽大會上公布了Windows降級攻擊技術(shù)Windows Downdate的細(xì)節(jié)，這是一種可以操縱Windows Update更新進(jìn)程的技術(shù)，使得惡意行為者能夠?qū)⑾到y(tǒng)關(guān)鍵組件降級，進(jìn)而使安全補(bǔ)丁失效。
“通過Windows Downdate，我可以完全控制Windows Update進(jìn)程，降級對象包括DLL、驅(qū)動程序甚至NT內(nèi)核在內(nèi)的關(guān)鍵操作系統(tǒng)組件，包括微軟的虛擬化堆棧也不能幸免。”Leviev在黑帽大會上說道：“這讓我能夠繞過所有驗(yàn)證步驟，使得完全打補(bǔ)丁的Windows機(jī)器也容易受到成千上萬個已修復(fù)漏洞的攻擊。”
Leviev的技術(shù)靈感來自于2023年的BlackLotus UEFI啟動套件（Bootkit），該Bootkit通過降級Windows引導(dǎo)管理器，利用CVE-2022-21894漏洞繞過安全引導(dǎo)并禁用其他操作系統(tǒng)安全機(jī)制（例如BitLocker、HVCI和Windows Defender）。
“我發(fā)現(xiàn)了一些漏洞，可用于開發(fā)Windows Downdate工具，以接管Windows Update進(jìn)程，制造完全不可檢測、隱形、持久且不可逆轉(zhuǎn)的關(guān)鍵操作系統(tǒng)組件降級，”Leviev在其研究報告中說道。
Leviev還找到了繞過UEFI鎖來禁用Windows基于虛擬化的安全性(VBS)、Credential Guard和虛擬機(jī)管理程序保護(hù)的代碼完整性(HVCI)的方法。
“我能夠讓一臺完全修補(bǔ)過的Windows機(jī)器受到過去存在的數(shù)千個漏洞的攻擊，將已修復(fù)的漏洞變成零日漏洞，并讓世界上任何一臺Windows機(jī)器上的‘完全修補(bǔ)’一詞都變得毫無意義。”Leviev總結(jié)道。
被低估的降級攻擊威脅
此次漏洞的發(fā)現(xiàn)引發(fā)了廣泛關(guān)注。Everest Group的高級分析師Arjun Chauhan指出，雖然微軟尚未觀測到此類降級攻擊在野外發(fā)生，但SafeBreach團(tuán)隊在六個月前報告漏洞后，微軟仍未提供可靠解決方案，這引發(fā)了業(yè)界對微軟響應(yīng)能力的擔(dān)憂。
降級攻擊又稱版本回滾攻擊，是一種通過將軟件恢復(fù)到舊版本，從而利用已修復(fù)漏洞的網(wǎng)絡(luò)攻擊。Chauhan指出，此類攻擊可能對嚴(yán)重依賴Windows環(huán)境的企業(yè)和機(jī)構(gòu)產(chǎn)生深遠(yuǎn)影響。“這些攻擊可以逆轉(zhuǎn)安全補(bǔ)丁，使系統(tǒng)重新暴露于先前已經(jīng)修復(fù)的漏洞，增加數(shù)據(jù)泄露、未經(jīng)授權(quán)訪問和敏感信息丟失的風(fēng)險。”
此外，降級攻擊可能通過破壞關(guān)鍵基礎(chǔ)設(shè)施而中斷運(yùn)營，導(dǎo)致停機(jī)和經(jīng)濟(jì)損失。金融服務(wù)、醫(yī)療、政府和公共部門等具有嚴(yán)格合規(guī)要求的行業(yè)尤其脆弱。一旦這些行業(yè)遭受成功的降級攻擊，可能會導(dǎo)致合規(guī)處罰，品牌和客戶信任也將蒙受巨大損失。
Leviev表示，降級攻擊的威脅不僅限于Windows系統(tǒng)，且難以被標(biāo)準(zhǔn)的端點(diǎn)安全或EDR工具檢測到，業(yè)界需要對操作系統(tǒng)降級攻擊進(jìn)行廣泛關(guān)注和研究。Leviev強(qiáng)調(diào)，操作系統(tǒng)的設(shè)計功能無論多舊，都應(yīng)視為潛在的攻擊面。
盡管微軟尚未對此研究結(jié)果發(fā)表公開聲明，但該公司已經(jīng)發(fā)布了兩個公告——CVE-2024-38202和CVE-2024-21302，微軟警告說Windows Backup中的提權(quán)漏洞可能允許攻擊者重新引入先前已修復(fù)的漏洞或繞過虛擬化安全功能（VBS）。
Chauhan建議，微軟發(fā)布永久解決方案之前，企業(yè)應(yīng)密切監(jiān)控降級嘗試，限制管理權(quán)限，并嚴(yán)格執(zhí)行最小權(quán)限原則（PoLP）。
