Kodėl teisiniai grasinimai negali užtaisyti pažeidžiamo „Windows“ branduolio

„Microsoft“ skiria milijardus saugumo tyrimams ir plėtrai. Jie įdarbina tūkstančius šviesiausių inžinierių, kad išlaikytų savo kodo vientisumą. Visgi, vienas tyrėjas, sėdėdamas namų biure, įveikė populiariausios pasaulyje operacinės sistemos pagrindinį saugumo variklį. Tikėtinas „Windows Defender“ saugumas yra tvirtas, neįveikiamas gynybos sluoksnis. Tikrasis „ShieldBreak“ išnaudojamumas yra tiesioginis kelias į sistemos lygio kontrolę. Šis atotrūkis atskleidžia sisteminę problemą, kaip programinės įrangos milžinai tvarko išorines ataskaitas apie pažeidžiamumus ir tyrėjus, kurie jas pateikia.

Prisimenu tą gegužės dieną, kai „Microsoft“ paskelbė tinklaraščio įrašą, sukėlusį nerimo bangą mano „Signal“ grupėse. Įraše buvo menkai užmaskuotas grasinimas teisiniais veiksmais saugumo tyrėjams, kurie atskleidžia nulinės dienos (zero-day) pažeidžiamumus nesilaikydami ribojančios įmonės politikos. Mums, kurie gyvename ir kvėpuojame informaciniu saugumu, tai atrodė kaip nerašytos sutarties tarp tiekėjų ir tyrėjų bendruomenės išdavystė. Kai įmonė renkasi bylinėjimąsi, o ne bendradarbiavimą, ji neištaiso klaidų. Ji tiesiog nutildo pranešėją. „Nightmare Eclipse“, tyrėjas, turintis patirties nustatant kritinius trūkumus, nusprendė kalbėti garsiau, užuot tylėjęs.

„ShieldBreak“ nulinės dienos mechanika

„ShieldBreak“ yra vietinio teisių išplėtimo (local privilege escalation) pažeidžiamumas. Jis nukreiptas į „Windows Defender“ – apsaugos nuo kenkėjiškų programų variklį, kuris yra iš anksto įdiegtas kiekviename moderniame „Windows“ įrenginyje. Įprastame saugumo modelyje „Windows Defender“ veikia kaip VIP klubo apsauginis prie kiekvienų vidinių durų. Tai komponentas, kuriuo vartotojai pasitiki stebėdami kenkėjišką veiklą ir užkirsdami kelią neteisėtiems sistemos pakeitimams. „ShieldBreak“ paverčia šį apsauginį bendrininku.

Rizikos požiūriu pažeidžiamumas yra sunkus, nes leidžia žemo lygio vartotojui gauti prieigą prie visos sistemos. Užpuolikas, kuris jau įsitvirtino mašinoje per duomenų viliojimo (phishing) nuorodą ar nedidelį programinės įrangos trūkumą, gali naudoti „ShieldBreak“, kad taptų administratoriumi. Gavę šiuos leidimus, jie gali išjungti saugumo programinę įrangą, įdiegti nuolatines galines duris (backdoors) ir nepastebimai eksfiltruoti jautrius duomenis. Tyrėjas išleido koncepcijos įrodymą (proof-of-concept) kaip „Windows“ programėlę. Dėl to išnaudojimas tampa prieinamas net vidutinių įgūdžių turintiems grėsmių sukėlėjams.

Willas Dormannas, labai gerbiamas pažeidžiamumų analizės bendruomenės narys, patvirtino šį išnaudojimą. Jo išvados patvirtina, kad „Windows Defender“ turi būti aktyvus, kad ataka pavyktų. Tai sukuria paradoksą IT administratoriams. Jie pasitiki „Defender“ apsauga, tačiau būtent „Defender“ buvimas sukuria skylę, kurios užpuolikui reikia įrenginiui pažeisti. Klaida paveikia „Windows 10“, „Windows 11“ (įskaitant naujausią 25H2 versiją) ir „Windows Server 2025“. Tai apima beveik visą šiuolaikinę „Windows“ ekosistemą.

Nesėkmingas lopų ciklas ir „RoguePlanet“ ryšys

„ShieldBreak“ nėra visiškai naujas atradimas. Tai ankstesnio pažeidžiamumo, pavadinto „RoguePlanet“, evoliucija. „Nightmare Eclipse“ pranešė apie „RoguePlanet“ įmonei „Microsoft“ anksčiau šiais metais, ir įmonė galiausiai išleido pataisą. Tačiau tyrėjas teigia, kad pataisa buvo nepakankama. „ShieldBreak“ veikia kaip visiškas tos ankstesnės pataisos apėjimas. Tai demonstruoja pasikartojančią programinės įrangos pramonės problemą: reaktyvų lopymą.

Kai tiekėjas skuba išleisti pataisą, kad laikytųsi termino arba sumažintų neigiamą viešumą, jis dažnai pašalina simptomą, o ne pagrindinę priežastį. Tai veda į katės ir pelės žaidimą, kuriame tyrėjai randa šiek tiek kitokį būdą sukelti tą patį pagrindinį trūkumą. Lopymas turėtų būti kaip skylės užkimšimas laivo korpuse. Jei kamštis per mažas arba pagamintas iš netinkamos medžiagos, vanduo galiausiai vėl ras kelią į vidų. „ShieldBreak“ įrodo, kad „RoguePlanet“ kamštis nepavyko.

Duomenų vientisumo požiūriu šis apėjimas kelia ypatingą susirūpinimą. Tai rodo, kad architektūrinis trūkumas „Windows Defender“ variklyje yra gilesnis, nei „Microsoft“ iš pradžių pripažino. Užkulisiuose kovą dėl šių klaidų ištaisymo apsunkina pačios „Windows“ kodo bazės dydis. Pakeitus vieną komponentą, rizikuojama sugadinti tuziną kitų. Šis sudėtingumas dažnai lemia konservatyvias lopymo strategijas, kurios palieka sistemas pažeidžiamas tokiems apėjimams, kokį pademonstravo „Nightmare Eclipse“.

DI klaidų medžioklės paradoksas „Microsoft“ įmonėje

„Microsoft“ neseniai gyrėsi naudojanti dirbtinį intelektą saugumo trūkumams nustatyti. Šis siekis automatizuoti lėmė stulbinantį pataisų skaičių per paskutinius du „Patch Tuesday“ ciklus – kas mėnesį buvo ištaisoma apie 500 klaidų. Nors DI yra puikus įrankis rasti įprastas kodavimo klaidas dideliu mastu, jam trūksta žmogaus tyrėjo kūrybinės intuicijos.

DI modeliai mokomi pagal esamus šablonus. Jie labai gerai randa tai, kas jau buvo matyta anksčiau. Jie mažiau veiksmingi nustatant naujus loginius trūkumus ar sudėtingas išnaudojimo grandines, kurioms reikia gilaus sistemos būsenos supratimo. „ShieldBreak“ yra žmogaus išradingumo produktas. Jis rado kelią, kurį DI valdomi skeneriai praleido. Vadinasi, pasikliovimas automatizuota klaidų medžiokle gali sukurti klaidingą saugumo jausmą.

Architektūriniu lygmeniu pataisų skaičiaus didėjimas nebūtinai reiškia atsparesnę sistemą. Jei klaidų kiekis didėja kartu su pataisų kiekiu, atakos paviršius išlieka toks pat arba didėja. Žvelgiant proaktyviai, „Microsoft“ privalo subalansuoti savo investicijas į DI su glaudesniu bendradarbiavimu su tyrėjais, kurie randa klaidas, kurias mašinos ignoruoja.

Teisinis grasinimas ir pasitikėjimo žlugimas

Saugumo tyrimai yra subtili ekosistema. Ji geriausiai veikia tada, kai yra aiškus, nuspėjamas informacijos atskleidimo kelias. „Microsoft“ grasinimas teisiniais veiksmais gegužę sutrikdė šią pusiausvyrą. Nors įmonė vėliau atsiėmė komentarus socialiniuose tinkluose, originalus tinklaraščio įrašas jų svetainėje liko nepakeistas. Tai sukuria bauginantį poveikį bendruomenei.

„Nightmare Eclipse“ pažymėjo, kad pranešimo proceso metu „Microsoft“ su jais elgėsi netinkamai. Šis jausmas paplitęs tarp daugelio nepriklausomų tyrėjų, kurie mano, kad klaidų premijų (bug bounty) programos tampa vis priešiškesnės. Kai tyrėjas praleidžia šimtus valandų ieškodamas trūkumo, kad susidurtų su teisiniais grasinimais arba jam būtų atsisakyta išmokėti premiją dėl techninių smulkmenų, jis praranda paskatą pranešti privačiai.

Architektūriniu lygmeniu šis pasitikėjimo žlugimas yra saugumo rizika. Jei tyrėjai nustos pranešti tiekėjams, jie arba visiškai nustos ieškoti klaidų, arba skelbs jas viešai kaip nulinės dienos pažeidžiamumus. Viešas atskleidimas be pataisos palieka pavojuje kiekvieną vartotoją. Šiuo atveju „Nightmare Eclipse“ pasirinko kraštutinę parinktį, nes manė, kad „Microsoft“ rimtai nevertina jų pranešimų. Tai pralaimėjimo situacija visai pramonei.

Atakos paviršiaus ir kritinių rizikų vertinimas

Organizacijoms, naudojančioms „Windows Server 2025“ arba „Windows 11“ darbo stočių parkus, „ShieldBreak“ yra kritinė problema. Kadangi pataisos nėra, pažeidžiamumas yra išnaudojamas šiandien. Atakos paviršiaus vertinimui reikia nuodugniai peržiūrėti, kas turi vietinę prieigą prie jūsų mašinų. Kadangi tai yra teisių išplėtimo klaida, užpuolikas jau turi turėti galimybę vykdyti kodą tikslinėje sistemoje.

Įsilaužimo atveju teismo ekspertizės tyrėjai ieškotų „ShieldBreak“ koncepcijos įrodymo programėlės vykdymo pėdsakų. Tačiau slaptas užpuolikas galėtų lengvai pakeisti kodą, kad išvengtų paprasto aptikimo pagal parašus. Dėl to ši klaida tampa didele grėsme duomenų konfidencialumui ir vientisumui. Jei užpuolikas gali pasiekti „System“ lygį, jis gali pasiekti kiekvieną failą, kiekvieną slaptažodžio maišos kodą (hash) ir kiekvieną šifruotą raktą įrenginyje.

Rizikos požiūriu ši klaida pabrėžia tradicinio tinklo perimetro apribojimus. Mes dažnai galvojame apie perimetrą kaip apie pasenusį pilies griovį, o „ShieldBreak“ įrodo, kad net kai esate pilies viduje, vidiniai sargybiniai gali būti pažeisti. Turime judėti link nulinio pasitikėjimo (zero-trust) modelio, kuriame joks vartotojas ar procesas nėra laikomas patikimu pagal nutylėjimą, net jei jie jau praėjo pradinį autentifikavimą.

Praktiniai patarimai neatidėliotinai gynybai

Neskaitant lopymo, yra keli žingsniai, kurių IT vadovai ir vartotojai gali imtis, kad sumažintų „ShieldBreak“ riziką, kol laukiama oficialaus „Microsoft“ pataisymo. Šie veiksmai sutelkti į tikimybės sumažinimą pradiniam įsitvirtinimui, kurio reikia išnaudojimui sukelti.

• Taikykite mažiausių teisių principą. Užtikrinkite, kad vartotojai neturėtų administratoriaus teisių savo vietinėse mašinose. Nors „ShieldBreak“ yra teisių išplėtimo įrankis, apribojus tai, ką vartotojas gali daryti iš pradžių, susiaurėja langas užpuolikui paleisti išnaudojimo kodą.
• Audituokite ir stebėkite neautorizuotas programas. Kadangi dabartinis išnaudojimas yra „Windows“ programėlė, naudokite „AppLocker“ arba „Windows Defender Application Control“ (WDAC), kad neleistumėte veikti nepatvirtintiems vykdomiesiems failams.
• Sustiprinkite galinių taškų aptikimo ir reagavimo (EDR) stebėjimą. Ieškokite neįprastų antrinių procesų, kylančių iš „Windows Defender“ komponentų, arba netikėtų teisių išplėtimų iki „System“ lygio.
• Peržiūrėkite savo reagavimo į incidentus planą. Įsitikinkite, kad jūsų komanda žino, kaip greitai izoliuoti pažeistą darbo stotį, jei aptinkamas įtartinas teisių išplėtimas.

Kelias į priekį tiekėjų ir tyrėjų santykiuose

„ShieldBreak“ yra daugiau nei tik programinės įrangos klaida. Tai pašlijusių santykių tarp vienos didžiausių pasaulio technologijų įmonių ir žmonių, kurie saugo jos produktus, simptomas. Teisiniai grasinimai yra reaktyvi priemonė, kuri niekaip nepadeda pagerinti kodo kokybės. „Microsoft“ privalo grįžti prie proaktyvios pozicijos, kurioje galutinio vartotojo saugumas yra svarbesnis už įmonės įvaizdžio apsaugą.

Mes, kaip bendruomenė, privalome reikalauti skaidrumo. Kai pataisa nepavyksta, tiekėjai turėtų sąžiningai pasakyti, kodėl taip nutiko. Kai tyrėjas pateikia pagrįstą ataskaitą, su juo turėtų būti elgiamasi kaip su partneriu, o ne kaip su priešininku. Saugumas yra bendros pastangos. Be šio bendradarbiavimo mes visi tiesiog laukiame, kol sulūžs kitas skydas.

Šiandien audituokite savo vietines administratorių grupes ir apribokite programinės įrangos vykdymo politikas. Tai veiksmingiausias būdas neutralizuoti „ShieldBreak“ grėsmę, kol pasirodys oficiali pataisa.

Šaltiniai

• NIST National Vulnerability Database (NVD)
• MITRE ATT&CK Framework: Privilege Escalation (T1068)
• Microsoft Security Response Center (MSRC) Disclosure Policy
• Microsoft Security Blog: May 2024 Policy Update
• Common Weakness Enumeration (CWE-269): Improper Privilege Management

Atsakomybės apribojimas

Šis straipsnis skirtas tik informaciniams ir edukaciniams tikslams. Pateikta informacija nepakeičia profesionalaus kibernetinio saugumo audito ar reagavimo į incidentus paslaugų. Autorius ir leidėjas neatsako už bet kokį pateiktų techninių duomenų netinkamą naudojimą.