0day уязвимость в современных ОС от Microsoft

[danilissimus]

>poc
эй, поц!

[silvergh0st]

Вроде было. Или я это не тут читал?

[silvergh0st]

Видимо таки не здесь…

[silvergh0st]

Ну да… Это rewrite с Либератума:

Вот цитата оттуда:

Уязвимость обнаружена в ядре Windows в win32k.sys и является результатом того, что вызов API NtGdiEnableEUDC не в состоянии проверить пользовательский ввод на вредоносное содержание. Хакеры могут использовать этот баг для перезаписи адресов возврата на вредоносный код, который в дальнейшем исполняется в привилегированном режиме. В результате брешь позволяет пользователям или процессам даже с ограниченными привилегиями исполнять код с повышенными правами.

Почему бы топик-ссылку не сделать просто?

[Akr0ZiS]

Я эти пару предложений не на Либератуме, а вообще на каком-то «левом» сайте увидел, если честно… Остальная информация там была представлена кошмарно, поэтому решил сделать не топик-ссылку, а написать самостоятельно более человеческим языком, просто включив в текст адекватную часть прочитанного.

[noma4i]

>Продуктами Лаборатории Касперского эксплойт детектируется как Exploit.Win32.EUDCPoC.a.
И как после этого уязвимость может называться 0-day?

[choor]

На нее нет заплатки, вот и называется «Уязвимость нулевого дня»

[FractalizeR]

А как связаны детект антивирусом и уязвимость нулевого дня?

[noma4i]

Т.к не я придумал понятие 0-day exploit, то узнавал про это здесь: en.wikipedia.org/wiki/Zero-day_exploit
А там черным по белому сказано, что наличие эксплоита в базах антивируса — уже не zero-day exploit.

[FractalizeR]

Процитируйте, пожалуйста, где такое сказано. Не могу найти

[asm0dey]

Вероятно, имеется ввиду вот это:

...threat that tries to exploit computer application vulnerabilities that are unknown to others

[asm0dey]

То есть как бы если она кому-то уже известна, эта вульнерабилити, то налицо несоответствие определению

[FractalizeR]

Ну, она всегда известна, как минимум одному лицу. А вообще она zero-day, пока для нее патча от производителя нет. Антивирусники тут ни при чем, я считаю

[Akr0ZiS]

А не подскажете конкретную строчку, из которой Вы сделали такое заключение? У меня просто с английским так себе, поэтому, возможно, я что-то пропустил или не совсем правильно понял, но про базы антивируса ничего особенного там не нашёл… А в русской версии этой статьи сказано только, что «0day-эксплоит — эксплоит для уязвимости в программе, не устранённой на момент выхода эксплоита». Зато там есть ещё одно понятие: «0day-вирус, либо вредоносная программа являются новыми, ранее неизвестными. По происхождению они не включены в сигнатуры антивирусного ПО, и и таким образом могут быть распознаны только другими способами до попадания в сигнатуры антивирусов.» Может, Вы их просто перепутали?

[monoxrom]

выход один — использовать виндовс 98

[Jamon]

Это что-то новенькое. Раньше все *nix советовали в таких случаях))

[segoon]

Виндовс 9х позволяет любому процессу получить любые привилегии без всяких багов в ядре.

[amarao]

Где тег «ведро»?

[gagoman]

Видно забыли в вчерашнем топике про linux, где эту уязвимость вспоминали.

[seriyPS]

Вообще должно быть «решето». Не понятно откуда «ведро» взялось

[hardex]

Походу пора доставать дискеты с DOS…

[undead_ekb]

Пора качать исошники с *nix.

[stas_agarkov]

а исходники есть или хотя бы бинарник?

[Akr0ZiS]

Есть и то, и другое, но я не уверен, стоит ли здесь давать ссылку…

[stas_agarkov]

ок, я уже нашел, скачал, затестил
на семерке работает на xp пишет, что не поддерживается
убрал в исходнике проверку версии — получил бсод на xp
в xp запускал c правами пользователя-администратора
выкладывать или нет нет разницы :) те кто смогут воспользоваться со злым умыслом, те и так найдут, а те кто не смогут — тем пофиг на выкладывание
плюс в соседней ветке про баг ядра линукс исходник никто выложить не постеснялся. почему?

[Akr0ZiS]

Ну ладно, пусть и тут будет чисто для «потестить» ;)
www.exploit-db.com/sploits/uacpoc.zip
Там сразу и бинарник, и исходники в архиве.

[AusTiN]

Avast ругнулся (:
Значит, не так всё страшно?..

[Akr0ZiS]

Ну, если степень опасности Вы измеряете исключительно по реакции Аваста, то да — не так страшен чёрт, как его малютка… А вообще, немного ниже я давал ссылку на отчёт VirusTotal (23/43; 53,5%). ;)

[Akr0ZiS]

Вы про AppLocker? Если да, то стоит учесть, что он входит в состав только «Корпоративной» и «Максимальной» редакций Windows 7, а их далеко не каждый офис может себе позволить.

[cheaTTer]

Блин
так вот от чего у меня бсод время от времени и ругань на win32.sys

[Akr0ZiS]

Едва ли, если только Вы время от времени сами на себе этот эксплойт не тестите)) Он пока не был замечен в использовании злоумышленниками.

[cheaTTer]

уф, свят свят, значт показалось ))))

[NightSilf]

Незнакомые программы запускаю только на виртуальной машине.

[EndUser]

где достать poc.exe пока на этой стадии он есть безобидная, но иногда жизненно нужная в техобслуживании утилитка?

[impass]

попробуйте winAUTOPWN, для систем без свежих патчей прокатит

[Akr0ZiS]

Я выше в комментах ссылку на архив с исходниками и бинарником этого эксплойта публиковал.

[DialSoft]

Да вы что! По словам «главного чувака по безопасности майкрософт в россии» — самые дырявые ОС это линукс и макось! )) Давайте поддержим дискуссию в комментах, не оставим этому бреду права на жизнь! goo.gl/L8QhF — ссылко на блог «Microsoft для прессы».

[pietrovich]

MS Security Essentials уже реагирует на PoC как на «Exploit:Win32/Deusenc.A»
еще не заплатка, но уже хоть какие-то действия и от МС

[Akr0ZiS]

Да, это радует. На него, в принципе, уже многие реагируют.

[AusTiN]

на Windows XP SP3 не запустилось. Судя по всему, из-за этой строчки:

	if((vi.dwBuildNumber >= 6000 && !bIsWow64) || (vi.dwBuildNumber >= 7600 && bIsWow64))

а билд ХР = 2600… =\

[23kid]

эти условия только для 64 битных систем. Драйвер работает во всей линейке начиная с XP

[Akr0ZiS]

В соседнем топике про совместимость с XP говорят, что, цитирую, «данный конкретный PoC не работает, но сама уязвимость актуальна для этой платформы».

[23kid]

я сказал о драйвере. POC не работает не из-за тех строчек, что привел AusTin.

[Akr0ZiS]

А я и отвечал не Вам)) Я просто страничку открыл и начал писать ещё до того, как увидел Ваш комментарий.