В конце лета 2018 года ИБ-специалистка, известная под псевдонимом SandboxEscaper, опубликовала в Twitter информацию о неисправленной уязвимости в Windows со ссылкой на proof-of-concept эксплоит. В коротком и эмоциональном сообщении специалистка писала, что ее уже ничего не волнует, и она больше не собирается пытаться сообщать об уязвимостях представителям Microsoft. После этого исследовательница попыталась удалить свое сообщение и весь Twitter-аккаунт, но в итоге передумала и восстановила учетную запись. Буквально неделю спустя стало известно, что этот баг уже взяли на вооружение хакеры.
Вчера, 23 октября 2018 года, SandboxEscaper запостила в Twitter информацию еще об одной уязвимости нулевого дня, затрагивающей Windows 10, Server 2016 и Server 2019. Ссылка на PoC-эксплоит, размещенный на GitHub, так же прилагалась.
https://t.co/1Of8EsOW8z Here's a low quality bug that is a pain to exploit.. still unpatched. I'm done with all this anyway. Probably going to get into problems because of being broke now.. but whatever.
— SandboxEscaper (@SandboxEscaper) October 23, 2018
Новая уязвимость связана с работой Microsoft Data Sharing (dssvc.dll), локального сервиса, который отвечает за обмен данными между приложениями. Сторонние специалисты по информационной безопасности уже изучили опубликованный эксплоит и пришли к выводу, что баг позволяет атакующему повысить привилегии в системе, к которой у него уже был доступ.
Фактически сейчас PoC разрешает удалять файлы, для удаления которых в нормальных обстоятельствах требуются привилегии администратора. Однако эксплоит определенно можно адаптировать и для других задач. К примеру, сама SandboxEscaper настаивает, что удалив некоторые DLL и другие файлы ОС, атакующие могут заменить их вредоносными версиями.
Известный ИБ-эксперт Кевин Бомонт (Kevin Beaumont) отмечает, что новая уязвимость очень похожа на баг, обнаруженный в августе.
Как было сказано выше, проблема опасна для Windows 10 (1,2), Server 2016 и Server 2019, так как dssvc.dll не представлен в Windows 8.1 и более ранних версиях ОС.
Кстати, сооснователь и CEO компании ACROS Security, Митя Колсек (Mitja Kolsek), и вовсе предостерегает пользователей от запуска эксплоита SandboxEscaper на своих машинах. Дело в том, что тот может удалить критически важные системные файлы, что, конечно, не может не сказаться на работоспособности ОС.
Btw, once @SandboxEscaper's deletebug.exe deletes pci.sys on the computer, you can no longer restart it so make sure you test on a virtual machine that you can revert to a state before you ran deletebug.exe. pic.twitter.com/bsQ2NNVnXS
— Mitja Kolsek (@mkolsek) October 23, 2018
Как и в случае с августовской уязвимостью, специалисты ACROS Security уже представили неофициальный патч для проблемы, так как Microsoft вряд ли отреагирует раньше следующего «вторника обновлений». Временный патч (или микропатч) для уязвимости был добавлен в состав их продукта 0patch. 0patch – это платформа, предназначенная как раз для таких ситуаций, то есть исправления 0-day и других непропатченных уязвимостей, для поддержки продуктов, которые уже не поддерживаются производителями, кастомного софта и так далее.
7 hours after the 0day in Microsoft Data Sharing Service was dropped, we have a micropatch candidate that successfully blocks the exploit by adding impersonation to the DeleteFileW call. As you can see, the Delete operation now gets an "ACCESS DENIED" due to impersonation. pic.twitter.com/qoQgMqtTas
— 0patch (@0patch) October 23, 2018
