Środowisko bezpieczeństwa IT ponownie żyje informacjami o ujawnieniu exploita typu zero-day dla systemów Microsoft Windows. Tym razem badacz bezpieczeństwa znany pod pseudonimem Chaotic Eclipse opublikował kod Proof-of-Concept (PoC), który według przeprowadzonych testów umożliwia uzyskanie uprawnień NT AUTHORITY\SYSTEM na aktualnych instalacjach Windows 10 oraz Windows 11.

Badacz publikuje kolejny exploit działający na w pełni zaktualizowanych systemach Windows

Sytuacja jest wyjątkowa nie tylko ze względu na samą podatność, ale również trwający od kilku miesięcy konflikt pomiędzy badaczem a Microsoft Security Response Center (MSRC). Autor twierdzi, że wielokrotnie zgłaszał producentowi nowe błędy bezpieczeństwa, jednak proces ich obsługi był niewystarczający, co ostatecznie skłoniło go do publicznego ujawniania exploitów. Microsoft konsekwentnie podkreśla natomiast, że publikowanie działających exploitów przed przygotowaniem poprawek znacząco zwiększa ryzyko ataków na użytkowników.

LegacyHive – eskalacja uprawnień do poziomu SYSTEM

Nowo opublikowany exploit nosi nazwę LegavyHive. Według autora wykorzystuje on błąd wyścigu (race condition) w mechanizmach Microsoft Defender.

Race condition występuje wtedy, gdy dwa lub więcej procesów jednocześnie uzyskuje dostęp do tych samych zasobów systemowych. Odpowiednio zsynchronizowane działania pozwalają doprowadzić system do nieoczekiwanego stanu, który może zostać wykorzystany do wykonania operacji z wyższymi uprawnieniami.

W przypadku LegacyHive rezultatem jest uruchomienie procesu z uprawnieniami SYSTEM, czyli najwyższymi dostępnymi w Windows. Konto SYSTEM posiada większe uprawnienia niż lokalny administrator i umożliwia praktycznie pełną kontrolę nad komputerem.

Według autora exploit działa na systemach posiadających najnowsze poprawki bezpieczeństwa, co oznacza, że klasyczne aktualizowanie oprogramowania nie eliminuje zagrożenia.

Dlaczego konto SYSTEM jest tak niebezpieczne?

Uzyskanie uprawnień SYSTEM oznacza możliwość:

• instalowania sterowników,
• wyłączania mechanizmów ochronnych,
• modyfikacji rejestru systemowego,
• odczytu pamięci procesów,
• przejmowania poświadczeń użytkowników,
• instalowania trwałego malware,
• omijania części mechanizmów EDR.

W praktyce exploit typu Local Privilege Escalation (LPE) nie daje napastnikowi zdalnego dostępu do komputera, ale pozwala przejąć pełną kontrolę nad maszyną po wcześniejszym uzyskaniu nawet bardzo ograniczonego dostępu lokalnego.

Dlatego właśnie podatności LPE są często wykorzystywane jako drugi etap ataku po phishingu, wykorzystaniu makr Office, złośliwych instalatorów lub exploitów przeglądarek.

Jak przebiega eskalacja uprawnień?

Typowy scenariusz wygląda następująco:

1. Atakujący uzyskuje możliwość uruchomienia kodu jako zwykły użytkownik.
2. Uruchamiany jest exploit LegacyHive.
3. Wykorzystywana jest podatność w Microsoft Defender.
4. Dochodzi do eskalacji uprawnień do SYSTEM.
5. Instalowany jest malware działający z najwyższymi uprawnieniami.
6. Następuje utrwalenie obecności (persistence) oraz dalszy ruch boczny w sieci.

To właśnie możliwość przejścia z konta użytkownika do SYSTEM sprawia, że tego typu podatności są szczególnie atrakcyjne dla operatorów ransomware oraz grup APT.

Microsoft Defender pod lupą

Interesujące jest to, że exploit nie wykorzystuje klasycznego błędu w jądrze systemu Windows, lecz mechanizmy związane z Microsoft Defender. Nowoczesne rozwiązania EDR i antywirusowe pracują z bardzo wysokimi uprawnieniami, aby móc monitorować wszystkie procesy systemowe. Paradoksalnie oznacza to również, że każda podatność w takim komponencie może prowadzić do natychmiastowego uzyskania najwyższych uprawnień przez napastnika. Z tego powodu producenci zabezpieczeń przykładają ogromną wagę do audytów kodu modułów działających w trybie uprzywilejowanym.

Problem odpowiedzialnego ujawniania podatności

Cała sytuacja ponownie rozpaliła dyskusję dotyczącą procesu Responsible Disclosure. Model odpowiedzialnego ujawniania zakłada przekazanie informacji producentowi oraz pozostawienie mu odpowiedniego czasu na przygotowanie poprawek przed publikacją szczegółów technicznych.

Badacz twierdzi jednak, że wcześniejsze zgłoszenia nie były odpowiednio obsługiwane, dlatego zdecydował się na publiczne udostępnienie exploitów. Microsoft utrzymuje natomiast, że takie działania zwiększają ryzyko ataków na użytkowników końcowych i przedsiębiorstwa.

Jak organizacje mogą ograniczyć ryzyko?

Do czasu pojawienia się oficjalnych poprawek warto wdrożyć dodatkowe środki bezpieczeństwa:

• stosować zasadę najmniejszych uprawnień (Least Privilege),
• ograniczać możliwość uruchamiania nieautoryzowanego oprogramowania (Application Allowlisting),
• monitorować próby eskalacji uprawnień,
• wykorzystywać rozwiązania EDR do wykrywania nietypowych zachowań procesów,
• wdrożyć segmentację sieci,
• ograniczyć możliwość logowania użytkowników z uprawnieniami administratora,
• prowadzić ciągły monitoring zdarzeń w systemach SIEM.

Dodatkowo warto analizować logi Microsoft Defender oraz Windows Event Log pod kątem nietypowych procesów uruchamianych z konta SYSTEM.

Podsumowanie

Publikacja LegacyHive  pokazuje, że nawet nowoczesne i regularnie aktualizowane systemy operacyjne mogą zawierać błędy umożliwiające przejęcie pełnej kontroli nad komputerem. Choć exploit wymaga wcześniejszego uruchomienia kodu lokalnie, jego skuteczność czyni go niezwykle cennym elementem łańcuchów ataku wykorzystywanych przez cyberprzestępców.

Dla administratorów oznacza to konieczność stosowania podejścia „Defense in Depth”, w którym bezpieczeństwo nie opiera się wyłącznie na aktualizacjach producenta, ale również na wielowarstwowych mechanizmach ochrony, monitorowaniu aktywności oraz ograniczaniu uprawnień użytkowników. W obliczu rosnącej liczby ujawnianych publicznie exploitów skuteczna detekcja i szybka reakcja stają się równie istotne jak instalowanie poprawek bezpieczeństwa.