Исследователь слил в сеть код эксплойта для Windows в ответ на бездействие Microsoft

Исследователь безопасности выложил в сеть код эксплойта нулевого дня для Windows, получившего название BlueHammer. Причиной такого радикального шага стал конфликт специалиста с Центром реагирования Microsoft (MSRC) из-за обработки процесса предоставленной им информации.

Выбираем лучший игровой ноутбук до 100 000 рублей: сравнительное тестирование 7 интересных моделей

Ryzen и DDR5-6000 на чипах Samsung — G.Skill даёт добро

Обзор Intel Core Ultra 7 270K Plus — лучший Arrow Lake за полцены

72 полёта над Марсом: как Ingenuity пережил зиму, сбои и собственную миссию

Обзор Intel Core Ultra 5 250K Plus, или Как Arrow Lake превратился в «топ за свои деньги»

Источник изображения: xAI

Исследователь, выступающий под псевдонимом Chaotic Eclipse, 3 апреля выложил код эксплойта на платформе GitHub. Автор выразил разочарование отношением руководства MSRC к предоставленной им ранее информации об инциденте и принципиально отказался объяснять технические детали своего метода раскрытия уязвимости. Эксплойт позволяет локальному злоумышленнику повысить свои привилегии в системе до уровня SYSTEM или получить расширенные права администратора. При этом Microsoft пока не выпустила обновление безопасности, предоставив лишь дежурный комментарий о важности скоординированного раскрытия уязвимостей.

Ведущий аналитик безопасности компании Tharros Уилл Дорманн (Will Dormann) подтвердил работоспособность эксплойта. Он пояснил, что атака представляет собой локальное повышение привилегий, которое комбинирует уязвимость времени проверки до времени использования (Time-of-Check to Time-of-Use, TOCTOU) и путаницу с путями. Этот сложный метод даёт хакеру доступ к базе данных Security Account Manager (SAM), где хранятся хеши паролей локальных аккаунтов. В результате этого возможно запустить командную оболочку с максимальными правами и полностью скомпрометировать компьютер.

Одновременно сам автор кода Chaotic Eclipse и сторонние тестировщики отмечают наличие багов в эксплойте, из-за чего он может работать нестабильно. В частности, на платформе Windows Server код не даёт полных системных прав, а лишь повышает их до администраторского уровня с запросом подтверждения. Дорманн предположил, что раздражение автора могло вызвать требование Microsoft в обязательном порядке прикреплять видео с демонстрацией взлома.

Несмотря на то, что уязвимость требует изначального локального доступа, хакеры легко могут получить его заранее через социальную инженерию или другие бреши в ПО.