Microsoft предупреждает: обнаружены атаки на уязвимость Zerologon

Рекомендуем почитать:

Хакинг для новичков

• Содержание выпуска
• Подписка на «Хакер»

Инженеры компании Microsoft предупреждают, что хакеры начали эксплуатировать проблему Zerologon (CVE-2020-1472), исправленную в рамках августовского «вторника обновлений».

Microsoft is actively tracking threat actor activity using exploits for the CVE-2020-1472 Netlogon EoP vulnerability, dubbed Zerologon. We have observed attacks where public exploits have been incorporated into attacker playbooks.

— Microsoft Security Intelligence (@MsftSecIntel) September 24, 2020

Многие специалисты называют Zerologon самой опасной ошибкой текущего года, а в минувшие выходные Министерство внутренней безопасности США дало федеральным агентствам страны три дня на срочное исправление бага, в противном случае пригрозив отключением от федеральных сетей.

В августе 2020 года эту проблему описывали как повышение привилегий в Netlogon, набравшую 10 баллов из 10 возможных по шкале оценки уязвимостей CVSS. Однако тогда детали уязвимости не разглашались. Лишь в середине текущего месяца эксперты голландской компании Secura BV раскрыли подробности о Zerologon, и вскоре в сети появились первые PoC-эксплоиты.

В сущности, уязвимость Zerologon опирается на слабый криптографический алгоритм, используемый в процессе аутентификации Netlogon. Проблему назвали Zerologon, так как атака осуществляется через добавление нулей в определенные аутентификационные параметры Netlogon, как видно на иллюстрации выше. В результате баг позволяет злоумышленнику манипулировать аутентификацией,а именно:

• выдать себя за любой компьютер в сети в ходе аутентификации на контроллере домена;
• отключить защитные механизмы в процессе аутентификации Netlogon;
• изменить пароль компьютера в Active Directory контроллера домена.

«Microsoft отслеживает активность злоумышленников, использующих эксплоиты для уязвимости CVE-2020-1472 в Netlogon EoP, получившей название Zerologon. Мы наблюдали атаки, в которых публично доступные эксплоиты были включены в стратегию злоумышленников», — пишут представители компании в Twitter.

Хотя Microsoft пока не обнародовала подробности об атаках, специалисты компании опубликовали хэши файлов эксплоитов, использованных в атаках.

Кроме того, в начале текущей недели стало известно, что Zerologon также представляет угрозу и для Samba при определенных обстоятельствах.

«Протокол netlogon содержит проблему, позволяющую обходить аутентификацию. Об этом сообщила Microsoft и исправила проблему, получившую идентификатор CVE-2020-1472. Поскольку ошибка обнаружена на уровне протокола, а Samba работает с его имплементацией, Samba также уязвима.

Однако, начиная с версии 4.8, выпущенной в марте 2018 года, Samba по умолчанию ­настаивает на безопасном входе в сеть, что является достаточным средством для противостояния известным эксплоитами. Значения по умолчанию эквивалентны наличию server schannel = yes в файле smb.conf.

Следовательно, версии 4.8 и выше не подвержены проблеме, если в них нет строк smb.conf server schannel = no или server schannel = auto. Samba версии 4.7 и ниже уязвимы, если в smb.conf не указано server schannel = yes.

Обратите внимание, что каждому контроллеру домена требуются правильные настройки smb.conf», — предупредили разработчики.

Источник