Nuevo ataque BYOTC secuestra aplicaciones confiables de Windows para abusar de controladores de kernel con privilegios elevados

Un nuevo ataque a Windows muestra cómo un programa de confianza puede convertirse en una ruta a funciones confidenciales del sistema. El método, llamado Bring Your Own Trusted Caller, o BYOTC, convierte una aplicación legítima en modo de usuario en la herramienta que le pide a un controlador privilegiado que realice acciones peligrosas.

A diferencia de un ataque de conductor vulnerable convencional, el conductor puede estar trabajando exactamente como está diseñado. Ese riesgo añade una nueva capa al abuso de controladores de Windows de confianza asociado con los intentos de desactivar las herramientas de seguridad antes de que se implementen el ransomware, el robo de credenciales u otras cargas útiles. Nuevos secuestros de ataques de BYOTC Aplicaciones de Windows de confianza BYOTC difiere de BYOVD de una manera clave. BYOVD se basa en una falla en un controlador firmado; BYOTC, en cambio, explota la relación de confianza entre un controlador y su llamador en modo usuario aprobado.

Los equipos no deben limitarse a preguntar si un controlador bloquea ejecutables que no son de confianza; deben probar si un cliente de confianza puede ser inyectado, modificado, depurado o lanzado a través de un proceso padre hostil. El padre malvado expone la brecha de confianza El segundo caso se centró en System Informer, cuyo controlador aplicó múltiples niveles de integridad y verificó archivos ejecutables, firmas, estado de depuración e imágenes cargadas.

Consultar publicación original ↗