Хакер #305. Многошаговые SQL-инъекции
Эксперты компании Trustwave сообщили, что в конце мая 2016 года их внимание привлекло объявление, опубликованное на русскоязычном адеграундном форуме. 11 мая, человек, скрывающийся под псевдонимом BuggiCorp, выставил на продажу эксплоит для 0-day уязвимости в Windows. Хакер пишет, что баг позволяет повысить привилегии в системе до максимального уровня, и проблема актуальна для всех версий операционной системы, начиная с Windows 2000 и заканчивая Windows 10. За свой «товар» BuggiCorp хочет получить как минимум $95 000 в биткоин эквиваленте.
С достаточно подробным описанием уязвимости можно ознакомиться «из первых рук»: объявление BuggiCorp приведено на скриншоте ниже. По словам хакера, уязвимость, допускающая локальное повышение привилегий, обнаружена в win32k.sys, и у него есть работающий эксплоит (x86 и x64), который тестировался «на всей линейке Windows, начиная с XP». Несколько пользователей форума поинтересовались, не связан ли продаваемый баг с уязвимостью, которую Microsoft устранила в апреле 2016 года, но BuggiCorp заверил, что это другая проблема.
В качестве доказательств BuggiCorp сопроводил свое объявление видеороликами, демонстрирующими работу эксплоита. Эксперты Trustwave отмечают, что ролики записаны непосредственно во «вторник обновлений», то есть автор видео убедился, что использованная для демонстрации версия Windows снабжена всеми последними обновлениями. Ролики можно увидеть ниже.
Исследователи Trustwave полагают, что уязвимость несколько переоценена, хотя не исключают того, что кто-нибудь заплатит искомую сумму. Дело в том, что LPE-уязвимости (local privilege escalation) ценятся лишь немногим меньше RCE-багов (remote code execution), — для эксплуатации LPE придется потрудиться, зато такая брешь гарантирует устойчивое заражение системы.
Также аналитики Trustwave высказали опасения относительно того, что после продажи этот 0-day может легко забыться и затеряться, а о факте продажи широкая публика даже не узнает. Впрочем, в одном из более поздних сообщений BuggiCorp сообщил, что продаст эксплоит только одному покупателю, эксклюзивно, то есть исчезновение объявления с форума, скорее всего, будет означать, что эксплоит продан.
