Falha gravíssima no Windows está sem solução

Uma falha gravíssima no Window foi descoberta e ela permite acesso total ao computador atacado e segue sem solução pela Microsoft.

Uma falha gravíssima no Window foi identificada por pesquisadores da Kaspersky e recebeu o nome de PhantomRPC.

Ela é tão crítica que permite que o atacante escale privilégios até SYSTEM e afeta todas as versões do Windows.

O fator mais preocupante é que a Microsoft não se manifestou sobre o assunto e tão pouco especificou uma data para a liberação de uma correção.

Falha gravíssima no Window está sem solução

Para entender o mecanismo de ação desta falha é preciso compreender como o sistema de comunicação interna funciona no Windows.

O Windows possui um mecanismo chamado RPC, Remote Procedure Call, que tem a finalidade de orquestrar a comunicação de serviços internos.

Com ele um serviço pode solicitar a execução de outro, mesmo se ambos estiverem em contextos separados.

O Windows também tem um recurso chamado impersonation, ele é o responsável por permitir que um processo assuma, temporariamente, a “identidade” de outro.

O grande problema é que não existe uma validação do servidor RPC, ou seja, ocorre um excesso de confiança por parte do Windows.

Desta forma é possível criar um servidor RPC falso e coloca-lo em execução, pois o mesmo não será verificado pelo sistema operacional.

Este é o mecanismo adotado pelo PhantomRPC.

Como acontece o ataque?

Como primeiro passo, o atacante precisa comprometer um serviço de acesso intermediário, notadamente as contas Network Service ou Local Service.

Essas contas têm uma permissão chamada SeImpersonatePrivilege, que autoriza um processo a executar o mecanismo de impersonation.

Com este acesso o atacante executa um servidor RPC falso como se fosse legítimo.

Quando um processo com mais privilégio tenta se comunicar com o serviço real e não consegue, a requisição vai parar no servidor falso.

Desta forma ele captura a identidade com mais privilégios e passa a atuar no sistema operacional com alto nível de privilégios.

Até o momento não existe sequer previsão de uma correção que corrija esta falha de segurança.