ИБ-специалистка, известная под псевдонимом SandboxEscaper, опубликовала в сети эксплоит для свежей уязвимости нулевого дня в Windows. Интересно, что SandboxEscaper поступает так уже в третий раз.
Первый 0-day исследовательница раскрыла в конце лета 2018 года. Тогда она опубликовала в Twitter информацию о неисправленной уязвимости в Windows со ссылкой на proof-of-concept эксплоит. В коротком и эмоциональном сообщении специалистка писала, что ее уже ничего не волнует, и она больше не собирается пытаться сообщать об уязвимостях представителям Microsoft. После этого исследовательница попыталась удалить свое сообщение и весь Twitter-аккаунт, но в итоге передумала и восстановила учетную запись. Буквально неделю спустя стало известно, что этот баг уже взяли на вооружение хакеры.
О второй проблеме нулевого дня SandboxEscaper так же сообщила через Twitter, но уже в конце октября текущего года. Эта уязвимость была связана с работой Microsoft Data Sharing (dssvc.dll), локального сервиса, который отвечает за обмен данными между приложениями. Сторонние специалисты по информационной безопасности изучили опубликованный эксплоит, подтвердили выводы SandboxEscaper и пришли к заключению, что баг позволяет атакующему повысить привилегии в системе, к которой у него уже был доступ.
В настоящее время о новой проблеме известно немного. Уязвимость касается работы ReadFile, функциональности, которую Windows использует для чтения данных из файлов и I/O устройств; также уязвимость связана с функцией MsiAdvertiseProduct.
Сооснователь и CEO компании ACROS Security, Митя Колсек (Mitja Kolsek), который занимался изучением первых двух эксплоитов SandboxEscaper, пишет, что новая уязвимость определенно существует, а эксплоит работает. Проблема, по его словам, заключается в том, что пользователь с низкими привилегиями может прочитать любой файл, доступный для локального аккаунта. То есть, по сути, новый баг связан с эскалацией привилегий, как и первые два.
Вскоре после публикации эксплоита, аккаунт SandboxEscaper на GitHub был заблокирован. В своем блоге исследовательница обвиняет в этом Microsoft. Кроме того, на прошлой неделе специалистка сообщала, что представители ФБР обратились в Google с повесткой и просьбой предоставить информацию о SandboxEscaper. Неизвестно, с чем именно связана эта активность, но СМИ отмечают, что SandboxEscaper рекламирует свои 0-day уязвимости в сети и предлагает эксплоиты на продажу (в том числе зарубежным правительствам), что является нарушением законов США. Более того, в этом месяце аккаунт специалистки в Twitter был заблокирован, так как она угрожала физической расправой президенту США Дональду Трампу.
