Set 03, 2021 Marco Schiaffino In evidenza, Leaks, Malware, News, RSS, Scenario 0

---

Il “manuale del perfetto cyber criminale” spiega quali strumenti e strategie usare per compromettere i sistemi delle vittime. Ecco il suo contenuto.

La galassia dei pirati informatici somiglia sempre più a un’impresa commerciale basata sul concetto di franchising. A confermarlo sono i ricercatori di Cisco Talos, che hanno analizzato una serie di documenti che il gruppo Conti, specializzato in attacchi ransomware, fornisce ai suoi affiliati.

Il “playbook” usato dal gruppo di pirati informatici per istruire i suoi affiliati attraverso la formula ormai diffusissima del ransomware as a service è venuto alla luce in seguito a un leak a opera di un “collaboratore” scontento.

Il testo originale, scritto in russo, è stato tradotto dai ricercatori di Talos e il suo contenuto sintetizza in maniera estremamente efficace il modus operandi dei pirati informatici specializzati in attacchi ransomware alle aziende.

Oltre all’elenco di strumenti e software consigliati per violare i sistemi delle potenziali vittime, il documento contiene infatti una serie di suggerimenti che riguardano, in primo luogo, le strategie per scegliere il bersaglio iniziale dell’attacco.

I pirati, in questa prospettiva, suggeriscono di sfruttare LinkedIn per stilare un elenco dei dipendenti dell’azienda che possono avere privilegi di amministrazione o ruoli chiave nell’impresa.

Per quanto riguarda la parte tecnica, il manuale fornisce una serie di informazioni e tutorial video che consentono di portare un attacco anche a chi non ha grandi conoscenze tecniche, fornendo in pratica delle istruzioni “passo per passo” e l’indicazione delle vulnerabilità più indicate per violare i sistemi del bersaglio.

In particolare, gli exploit suggeriti sono quelli che fanno leva su vulnerabilità come Zerologon, PrintNightmare e l’immancabile EternaBlue.

Ciò che impressiona di più, però, è il dettaglio con cui vengono illustrate le procedure per utilizzare strumenti di hacking come Mimikatz e simili. SI tratta, in pratica, di una guida “for dummies” alla pirateria informatica.

Il materiale raccolto ed elaborato da Cisco Talos, ora a disposizione di chiunque, rappresenta uno strumento prezioso per tutti gli esperti di sicurezza per comprendere meglio le strategie di attacco utilizzate dai cyber criminali e predisporre le più opportune contromisure.

---

---

---

https://www.securityinfo.it/2021/09/03/la-guida-pratica-agli-attacchi-ransomware-del-gruppo-conti/?utm_source=rss&utm_medium=rss&utm_campaign=la-guida-pratica-agli-attacchi-ransomware-del-gruppo-conti

Set 02, 2021 Marco Schiaffino In evidenza, News, Scenario, Tecnologia, Vulnerabilità 0

---

Per la National Security Agency i sistemi di crittografia non corrono alcun pericolo nell’immediato. Ora siamo tutti più tranquilli…

Tra le suggestioni legate alla possibilità di creare computer in grado di sfruttare la meccanica quantistica, una impatta direttamente su uno dei pilastri della cybersecurity: la crittografia.

Secondo molti ricercatori, infatti, una delle conseguenze della comparsa di computer quantistici (quantum computer) sarebbe la possibilità di scardinare con relativa facilità i sistemi di crittografia asimmetrica, quelli cioè utilizzati normalmente per proteggere le comunicazioni online e non solo.

A tranquillizzare il settore in merito al rischio di una “apocalisse crittografica”, però, arriva adesso un documento della National Security Agency che affronta il tema in una prospettiva che sembra voler sedare le inquietudini.

Nel corposo report pubblicato su Internet dall’NSA, tutto questo sembra essere ancora come una sorta di rischio ipotetico. “L’NSA non sa quando o se mai verrà sviluppato un computer quantistico con dimensioni sufficienti e capacità per violare i sistemi di crittografia a chiave pubblica”.

Nel gergo dell’agenzia, che ama gli acronimi, una macchina di questo genere definita come “Cryptographically Relevant Quantum Computer” o CRQC.

Le considerazioni di cui sopra, nella logica del documento, servono a chiarire il motivo per cui i sistemi crittografici individuati come standard dall’NSA per i National Security Systems (NSS) non prevedono algoritmi “a prova di computer quantistico”, ma solo sistemi piuttosto tradizionali (RSA; Diffie-Hellman; SHA e AES) con un livello di robustezza adeguato.

Tutti tranquilli, dunque? Non proprio. Secondo i soliti maligni, infatti, il ruolo giocato dal governo statunitense nella definizione degli standard di sicurezza ha sempre rappresentato una sorta di “area grigia” in cui si annidano sospetti più o meno confessabili.

In passato, infatti, molti ricercatori hanno sollevato il dubbio che certe scelte nella definizione degli standard potessero essere considerate discutibili e avessero l’obiettivo nascosto di consentire ai servizi di intelligence di violarne l’integrità.

Insomma: di fronte a una dichiarazione dell’NSA che tranquillizza il settore definendo improbabile la realizzazione in tempi brevi di un computer quantistico, la domanda viene spontanea: non ne avranno sviluppato uno già pronto all’uso?

---

---

---

https://www.securityinfo.it/2021/09/02/non-dobbiamo-preoccuparci-dei-computer-quantistici-parola-dellnsa/?utm_source=rss&utm_medium=rss&utm_campaign=non-dobbiamo-preoccuparci-dei-computer-quantistici-parola-dellnsa

Set 01, 2021 Marco Schiaffino In evidenza, Malware, News, RSS 0

---

La nuova tecnica permette ai cyber criminali di monetizzare in maniera alternativa i dispositivi compromessi. Ecco come funziona.

Esiste un limite oltre il quale è impossibile immaginare sistemi per trasformare in denaro un dispositivo compromesso? Apparentemente no.

Il nuovo stratagemma per “spremere” le vittime degli attacchi informatici fa leva sullo sfruttamento della loro connessione a Internet.

Lo spunto che hanno colto deriva dai proxyware, i software che consentono di condividere la propria connessione Internet in cambio di una retribuzione. La piattaforma più conosciuta è Honeygain, che dal 2019 offre questo particolare sistema di monetizzazione “passiva” della connessione Internet agli utenti privati.

Come viene spiegato in un report pubblicato su Internet dai ricercatori di Cisco Talos, i cyber criminali hanno iniziato a sfruttare questa possibilità per guadagnare denaro “scroccando” le connessioni dei dispositivi compromessi con i loro malware.

Lo schema è semplice: una volta ottenuto il controllo del computer, i pirati installano il client (registrato con un account da loro gestito) per condividere la banda Internet. In questo modo possono incassare la retribuzione prevista.

Stando a quanto si legge sul sito di Honeygain, il frutto di questo tipo di attività aumenta progressivamente in base ai GB messi a disposizione della piattaforma. Per avere un’idea di grandezza, la condivisione di 5GB al giorno porterebbe a incassare 15 dollari.

Cifre modeste, che però diventano interessanti nel momento in cui vi si applica la solita “economia di scala” che sfruttano i pirati informatici. Prendendo quel valore come riferimento, una botnet con 2.000 PC garantirebbe un gettito di 30.000 dollari al mese.

La piattaforma, in realtà, prevede una serie di limitazioni che hanno proprio l’obiettivo di impedire questo tipo di abusi, come l’impossibilità di registrare un numero elevato di dispositivi legati a un singolo account. Aggirarle, però, non è difficile.

Anche il fatto che la retribuzione possa essere versata in Bitcoin, più facili da occultare rispetto ad altri tipi di transazioni, rappresenta certamente un elemento attrattivo per i pirati informatici.

Secondo i ricercatori di Talos, però, i proxyware sono sfruttati anche in altro modo. Per esempio diffondendone versioni malevole che, oltre a dirottare i proventi nei conti dei cyber criminali, conterrebbero un miner per criptovalute e uno strumento per il furto di informazioni sensibili.

Il proxyware, spiegano gli autori del report, rappresenterebbe anche un perfetto paravento per il calo di prestazioni determinato dalla presenza del miner. Insomma: in un colpo solo la vittima soffrirebbe un furto di potenza di calcolo, di connessione e di informazioni.

---

---

---

https://www.securityinfo.it/2021/09/01/proxyware-ora-i-pirati-si-rivendono-la-banda-internet-delle-vittime/?utm_source=rss&utm_medium=rss&utm_campaign=proxyware-ora-i-pirati-si-rivendono-la-banda-internet-delle-vittime

Ago 31, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

---

La vulnerabilità è dovuta a un pasticcio a livello di comunicazione tra i server che gestiscono la piattaforma email. Meglio aggiornare…  

I ricercatori dello Zero Day Initiative di Trend Micro lo hanno battezzato con il nome di ProxyToken. E il nome è decisamente azzeccato: il bug che interessa i Microsoft Exchange Server si annida infatti nella funzionalità di gestione del token di autenticazione degli utenti.

Il problema, si legge nel report pubblicato sul sito ufficiale della società di sicurezza, riguarda le modalità usate da Exchange per gestire l’autenticazione degli utenti.

La piattaforma, in pratica, usa due siti Web: uno a livello di Front End, l’altro come Back End. Il primo, però, agisce quasi esclusivamente come un proxy diretto al secondo. Per tutte le richieste seguenti all’autenticazione, spiegano gli autori della ricerca, il Front End si limita a “reimpacchettare” le richieste e inviarle al Back End.

A creare il cortocircuito è una funzionalità chiamata Delegated Authentication il cui funzionamento, in teoria, delega al Back End la procedura e prevede l’invio a quest’ultimo di un cookie che contiene un token di autenticazione che dovrebbe essere verificato.

Questo tipo di procedura, però, non è attiva nella configurazione predefinita e deve essere impostata manualmente prevedendo il caricamento del DelegatedAuthModule.

Se una richiesta corredata dal token di autenticazione viene inviata a un server che non ha attivato il modulo, ecco il patatrac: il Front End rileva il token e invia tutto al Back End affinché proceda al suo controllo. Il Back End, però, non è impostato per eseguire la verifica e prende per buona la richiesta senzaeseguire alcun check.

Risultato: sfruttando questa “incomprensione” è possibile accedere alla casella di posta elettronica aggirando l’autenticazione, impostando poi un comando (come l’inoltro automatico) che gli consentirebbe di leggere tutte le email ricevute dall’utente.

La vulnerabilità (CVE-2021-33766) è stata corretta con la tornata di patch distribuita da Microsoft lo scorso luglio.

---

---

---

https://www.securityinfo.it/2021/08/31/proxytoken-bug-in-microsoft-exchange-permette-di-spiare-le-email/?utm_source=rss&utm_medium=rss&utm_campaign=proxytoken-bug-in-microsoft-exchange-permette-di-spiare-le-email

Ago 30, 2021 Marco Schiaffino In evidenza, News, Scenario 0

---

Una ricerca di IBM analizza l’impatto economico cui sono sottoposte le aziende a causa delle violazioni dei sistemi informatici.

Dal punto di vista della sicurezza informatica, il 2020 è stato un anno che porta con sé un bilancio decisamente “pesante”. Ad aumentare, però, non è solo il numero di attacchi e di incidenti di cyber security, ma anche il danno economico collegato ai data breach.

Stando a quanto si legge nella ricerca pubblicata da IBM, il costo medio cui sono sottoposte le aziende che subiscono una violazione dei dati è aumentato del 10% in un anno, da 3.86 milioni di dollari a 4.24 milioni.

A contribuire all’aumento, anche alcuni fattori estemporanei legati alla pandemia da Covid 19, come l’adozione del lavoro in remoto.

Proprio gli incidenti analizzati dagli esperti IBM confermano l’incidenza del lavoro a distanza (nel 17,5% dei casi registrati il fattore è stato sfruttato per violare le reti aziendali) contribuisce ad alzare l’asticella.

In media, le aziende che hanno subito un data breach a causa di vulnerabilità legate al remote working hanno dovuto affrontare costi in media superiori di 1,07 milioni di dollari.

Un dato che si spiega principalmente con il fatto che le organizzazioni che hanno adottato il lavoro in remoto in maniera estensiva (più del 50% dei lavoratori) hanno impiegato più tempo per scoprire il data breach.

In media, emerge dal rapporto, gli amministratori che operavano in contesti di questo genere hanno avuto bisogno di 58 giorni in più per individuare e contenere le violazioni.

Anche se si guarda alla media complessiva, però, il tempo medio necessario per rilevare i data breach rimane piuttosto elevato: ben 287 giorni. Ancora più preoccupante è il fatto che il dato appaia in crescita. Insomma: le capacità di reazione non stanno affatto migliorando.

Il vettore iniziale di attacco più frequente, e non si tratta di una sorpresa, è quello che fa leva sulla compromissione delle credenziali di un utente. Ben il 20% dei casi analizzati sono infatti riconducibili a questo schema.

Tornando alla quantificazione dei costi sopportati dalle vittime dei data breach, gli autori della ricerca fanno notare come l’implementazione di strumenti di cyber security e policy di sicurezza avanzate contribuiscano ad abbattere notevolmente le cifre.

Nel dettaglio, l’utilizzo di un approccio Zero Trust porterebbe ad abbattere l’ammontare del danno economico di circa 1,7 milioni di dollari, mentre la differenza dell’impatto tra le organizzazioni che fanno uso di sistemi di automazione e intelligenza artificiale e quelle che non li utilizzano sarebbe addirittura dell’80%.

---

---

---

https://www.securityinfo.it/2021/08/30/nel-2020-e-aumentato-il-costo-dei-data-breach/?utm_source=rss&utm_medium=rss&utm_campaign=nel-2020-e-aumentato-il-costo-dei-data-breach

Ago 27, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

---

Altre vulnerabilità nel software dell’azienda statunitense che i pirati hanno sfruttato per il devastante attacco di filiera dello scorso luglio.

Allarme rosso per Kaseya Unitrends, la piattaforma cloud per il backup e il ripristino dei sistemi sviluppato e distribuito dall’azienda con sede a Miami.

A turbare i sonni di chi utilizza il sistema Kaseya sono 3 vulnerabilità scoperte lo scorso 2 luglio dai ricercatori del Dutch Institute for Vulnerability Disclosure (DIVD) e che sono diventate pubbliche a causa di una mancanza di coordinazione tra i soggetti interessati.

Gli autori della scoperta, infatti, hanno condiviso le loro informazioni con i CERT di 68 governi, ma uno di questi ha pubblicato il codice su una piattaforma di analisi, rendendo in pratica pubbliche le vulnerabilità.

Due delle falle di sicurezza, che riguardano bug lato server che potrebbero portare, rispettivamente, all’elevazione di privilegi e all’esecuzione di codice in remoto sono già state corrette con una patch (silenziosamente) pubblicata lo scorso 12 agosto.

Per la terza, che consente di portare un attacco al client per avviare l’esecuzione di codice in remoto senza necessità di autenticazione, si è però ancora in attesa dell’aggiornamento.

Per fortuna, il numero di potenziali vittime dovrebbe essere piuttosto ridotto. Già a partire dal 14 luglio, infatti, DIVD ha avviato una scansione di tutti i sistemi Unitrends esposti su Internet e ha provveduto a contattare gli amministratori di sistema per suggerire loro di metterli offline.

Il leak riguardante le vulnerabilità è avvenuto solo in seguito e la pubblicazione del report di DIVD risale invece al 26 luglio.

Insomma: all’alba della fine di agosto è lecito pensare che tutti i soggetti potenzialmente vulnerabili abbiano preso le loro precauzioni per evitare di rimanere vittima di un attacco basato sulle vulnerabilità di Kaseya Unitrends.

Lo scorso luglio, un attacco che ha sfruttato alcune vulnerabilità zero-day di Kaseya VSA hanno portato alla compromissione dei sistemi di oltre 1.500 aziende in tutto il mondo. Questa volta, seppur con qualche inciampo, le cose sono andate meglio.

---

---

---

https://www.securityinfo.it/2021/08/27/tre-nuove-falle-in-kaseya-unitrends-due-corrette-una-no/?utm_source=rss&utm_medium=rss&utm_campaign=tre-nuove-falle-in-kaseya-unitrends-due-corrette-una-no

Ago 26, 2021 Marco Schiaffino In evidenza, Malware, News, RSS, Vulnerabilità 0

---

La falla di sicurezza interessa più di 200 modelli di dispositivi IoT che ora rischiano di finire “arruolati” nella famigerata botnet.

È ormai una delle botnet più longeve in circolazione e non smette di evolversi: Mirai continua a crescere e rappresenta una costante minaccia per il mondo di Internet, mettendo a dura prova chi cerca di arginarne l’attività.

Dopo gli allarmi legati agli attacchi “monstre” registrati da Cloudflare nelle scorse settimane, arriva adesso la notizia che gli autori di Mirai hanno potenziato l’arsenale di exploit a loro disposizione.

La botnet, che prende di mira i dispositivi IoT per assicurarsene il controllo e utilizzarli allo scopo di portare attacchi DDoS di impatto devastante, sfrutterebbe adesso una tecnica che si basa su una vulnerabilità nel software distribuito da Realtek.

Il bug, per la precisione, si annida nel Software Development Kit (SDK) del produttore taiwanese e interesserebbe più di 200 prodotti di 65 società, tra cui Asus, Belkin, China Mobile, Compal; D-Link; LG; Logitec; Netgear, ZTE; e Zyxel.

Router e device IoT che adesso sarebbero vulnerabili a una forma di attacco che consentirebbe al malware di prenderne il completo controllo.

La falla di sicurezza, relativa al modulo RTL819xD, è stata corretta dagli sviluppatori di Realtek con una patch che risolve il problema.

A rendere particolarmente spinosa la situazione è che questo ennesimo attacco di filiera richiederà un po’ di tempo per essere arginato. Non solo perché i produttori coinvolti sono numerosi, ma anche in considerazione delle difficoltà legate alla distribuzione dell’aggiornamento agli utenti finali.

I dispositivi IoT, infatti, integrano raramente sistemi di update automatico e nella gerarchia dei devicei che vengono sottoposti a una manutenzione programmata, finiscono inesorabilmente in fondo alla coda se non fuori dalla lista.

Insomma: il timore è che si apra una “finestra” estremamente pericolosa in cui milioni di dispositivi rimarranno alla mercé di Mirai, per la gioia dei pirati informatici che gestiscono la botnet.

---

---

---

https://www.securityinfo.it/2021/08/26/vulnerabilita-nel-software-realtek-sfruttata-da-mirai/?utm_source=rss&utm_medium=rss&utm_campaign=vulnerabilita-nel-software-realtek-sfruttata-da-mirai

Ago 25, 2021 Marco Schiaffino Attacchi, In evidenza, Malware, News, Scenario 0

---

La scelta dei documenti che possono essere utili all’estorsione viene effettuata attraverso uno script che ne analizza il nome.

La tecnica della doppia estorsione, nel settore del ransomware, è ormai pratica comune. Come abbiamo già sottolineato in queste pagine, lo schema è estremamente lineare: prevede infatti una prima richiesta di riscatto per ripristinare l’accesso ai dati e una seconda per scongiurare la pubblicazione degli stessi su Internet.

A chiarire meglio le tattiche utilizzate dai cyber criminali, però, sono alcuni strumenti che questi utilizzano nel corso dei loro attacchi.

Come si legge in un articolo pubblicato da Bleeping Computer, gli specialisti in ransomware eseguono una ricerca mirata per individuare i documenti che possono consentire loro di esercitare la maggiore pressione sulle loro vittime.

L’uso di questi script PowerShell, individuato dai ricercatori del MalwareHunterTeam, si colloca nella fase finale della catena di attacco messa a punto dal gruppo Pysa.

Dopo aver compromesso un dispositivo e aver eseguito il movimento laterale che gli consente di accedere a ulteriori risorse all’interno della rete aziendale, i pirati utilizzano uno strumento che passa al setaccio i documenti al loro interno attraverso un sistema di ricerca per parole chiave.

Nel caso dello script individuato dai ricercatori, si tratta di un elenco di 123 parole che comprendono termini come “audit”; “security”; “confidential”; “finance”, “Government” e simili.

Le parole chiave, in pratica, puntano a selezionare sia quei documenti che possono contenere informazioni utili per ulteriori attacchi o di qualche valore, come le credenziali di accesso ai servizi, sia quelli che possono rappresentare un qualche “imbarazzo” per l’azienda colpita.

Insomma: piuttosto che “pescare nel mucchio”, i pirati informatici preferiscono eseguire a monte l’analisi del loro contenuto, in modo da sottrarre soltanto quei documenti che possono essergli utili nell’estorsione e, allo stesso tempo, minimizzare la quantità di dati che devono esfiltrare dalla rete.

---

---

---

https://www.securityinfo.it/2021/08/25/ransomware-ecco-come-i-pirati-selezionano-i-file-da-rubare/?utm_source=rss&utm_medium=rss&utm_campaign=ransomware-ecco-come-i-pirati-selezionano-i-file-da-rubare

Ago 24, 2021 Marco Schiaffino Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

La tecnica di attacco consente di compromettere gli iPhone delle vittime senza che sia necessaria alcuna interazione da arte dell’utente.

L’ennesima falla di sicurezza in iOS è stata individuata dai ricercatori di Citizen Lab e sarebbe utilizzata (guarda un po’) per diffondere il famigerato trojan Pegasus sviluppato dalla società israeliana NSO Group.

L’exploit, che interessa iMessage, è uno “zero.-click”, sfrutta cioè una vulnerabilità che consente di installare l’impianto spyware sullo smartphone senza che sia necessaria alcuna interazione da parte del proprietario del dispositivo.

In altre parole, non serve che la vittima faccia clic su un link, apra un allegato o compia alcuna azione: basta che il messaggio venga ricevuto sullo smartphone e il gioco è fatto.

La denuncia arriva (di nuovo) da Citizen Lab, che da anni porta avanti una campagna di opinione contro le “disinvolte” pratiche commerciali di NSO Group.

La società israeliana, specializzata nella produzione di software di spionaggio, è infatti nota per fornire i suoi prodotti anche a quei governi autoritari che sfruttano il suo trojan per spiare giornalisti, oppositori politici e attivisti per i diritti umani in mezzo mondo.

In questo caso, le vittime degli attacchi portati con il nuovo exploit sarebbero finite nel mirino dei servizi segreti del Barhain, regime noto per ignorare sistematicamente i diritti civili dei suoi cittadini.

Se l’ennesima violazione delle libertà civili rischia di non essere una notizia, da un punto di vista tecnico la vicenda conferma la preoccupante proliferazione di vulnerabilità in iOS, già registrata nei mesi scorsi quando erano emerse falle di sicurezza con caratteristiche simili.

L’exploit, battezzato con il nome di FORCEDENTRY, verrà probabilmente neutralizzato con i prossimi aggiornamenti del sistema operativo Apple. Fino ad allora, però, tutti i possessori di iPhone rimarranno vulnerabili agli attacchi basati sulla tecnica sviluppata da NSO Group.

---

---

---

https://www.securityinfo.it/2021/08/24/nuovo-exploit-zero-click-per-ios-e-ancora-pegasus-di-nso-group/?utm_source=rss&utm_medium=rss&utm_campaign=nuovo-exploit-zero-click-per-ios-e-ancora-pegasus-di-nso-group

Ago 23, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

---

Grazie a un bug del software di installazione plug and play è possibile eseguire una Powershell con privilegi di sistema.

Non tutti gli attacchi informatici consentono di prendere immediatamente il controllo di un PC. Quando un pirata riesce a colpire un computer con un account che ha privilegi limitati, infatti, l’esecuzione di codice è normalmente negata.

Per poter sfruttare questa posizione di (relativo) vantaggio è necessario sfruttare una vulnerabilità LPE (Local Privilege Escalation) che consenta di ottenere i privilegi di amministratore e ottenere, di conseguenza, la libertà di azione necessaria per installare il malware.

Anche se non hanno un livello di criticità paragonabile alle vulnerabilità RCE (Remote Code Execution), di conseguenza, le falle di sicurezza di Windows relative all’elevazione di privilegi rappresentano uno dei fronti caldi del patch management.

Nel caso della vulnerabilità resa pubblica su Twitter da un ricercatore che si firma sul social network con il nome di jonhat, però, il bug non riguarda direttamente il sistema operativo, ma i driver dei device Razer, un produttore di mouse e periferiche di controllo.

Come si può vedere nel video pubblicato da jonhat nel suo Tweet, il problema riguarda essenzialmente la procedura di installazione automatica dei driver Razer che viene avviata quando si collega una periferica al PC.

Need local admin and have physical access?
– Plug a Razer mouse (or the dongle)
– Windows Update will download and execute RazerInstaller as SYSTEM
– Abuse elevated Explorer to open Powershell with Shift+Right click

Tried contacting @Razer, but no answers. So here’s a freebie pic.twitter.com/xDkl87RCmz

— jonhat (@j0nh4t) August 21, 2021

I driver, che vengono scaricati automaticamente al momento del collegamento, avviano una classica procedura in cui viene offerta la possibilità di confermare o modificare il percorso di installazione del software di controllo.

Ed è qui che è possibile portare l’attacco: basta fare click con il tasto destro del mouse tenendo premuto il pulsante Shift per aprire un menu contestuale da cui eseguire una Powershell. Dal momento che il processo di installazione ha privilegi di sistema, anche la Powershell ha gli stessi privilegi.

Insomma: un pirata informatico con accesso fisico a un computer potrebbe semplicemente collegare un mouse, aspettare il momento giusto e avviare l’esecuzione di qualsiasi tipo di operazione con i massimi privilegi sulla macchina.

Il ricercatore, che nel tweet specifica di aver provato a contattare Razer senza però avere alcuna risposta, ha pubblicato la dimostrazione nella speranza di dare una “scossa” al produttore.

Operazione riuscita: in un successivo “cinguettio” jonhat ha confermato che Razer sta lavorando alla patch e che gli ha anche riconosciuto un compenso, nonostante le poco ortodosse modalità di disclosure.

---

---

---

https://www.securityinfo.it/2021/08/23/come-ti-elevo-i-privilegi-su-windows-usando-un-mouse-razer/?utm_source=rss&utm_medium=rss&utm_campaign=come-ti-elevo-i-privilegi-su-windows-usando-un-mouse-razer