新しいステルス技術により、ハッカーは Windows SYSTEM 権限を取得できます

セキュリティ研究者は、Windows フィルタリングプラットフォームを悪用してユーザーの権限を昇格させ、Windows の最高の権限レベルである SYSTEM への権限を増やすツールである NoFilter をリリースしました。

このユーティリティは、攻撃者がより高い権限で悪意のあるコードを実行したり、別のユーザーがすでに感染したデバイスにログインしているため被害者のネットワーク上を横方向に移動したりする必要があるエクスプロイト後のシナリオで役立ちます。

Microsoft は、Windows フィルタリングプラットフォーム (WFP) を「ネットワークフィルタリングアプリケーションを作成するためのプラットフォームを提供する API とシステムサービスのセット」と定義しています。

開発者は WFP API を使用して、ネットワークデータが宛先に到達する前にフィルタリングまたは変更できるコード、ネットワーク監視ツール、侵入検知システム、またはファイアウォールで見られる機能を作成できます。

サイバーセキュリティ企業 Deep Instinct の研究者は、あまり多くの証拠を残さず、多数のセキュリティ製品に検出されることなく、Windows マシンの特権を昇格する 3 つの新しい攻撃を開発しました。

最初の方法では、WFP を使用してアクセストークン、つまりスレッドとプロセスのセキュリティコンテキストでユーザーとそのアクセス許可を識別するコード部分を複製できます。

スレッドが特権タスクを実行すると、関連付けられたトークンに必要なレベルのアクセス権があるかどうかがセキュリティ識別子によって検証されます。

Deep Instinct のセキュリティ研究者である Ron Ben Yizhak 氏は、NtQueryInformationProcess 関数を呼び出すと、プロセスが保持するすべてのトークンを含むハンドルテーブルを取得できると説明しています。

「これらのトークンのハンドルは、別のプロセスが SYSTEM にエスカレーションするために複製される可能性があります」と Yizhak 氏は技術ブログ投稿で述べています。

研究者は、tcpip.sys と呼ばれる Windows オペレーティングシステムの重要なドライバーには、ステートフルフィルター処理のための WPF ALE (Application Layer Enforcement) カーネルモードレイヤーへのデバイス IO 要求によって呼び出される可能性のあるいくつかの関数があると説明しています。

「デバイス IO リクエストは、WfpAleProcessTokenReference を呼び出すために送信されます。これはサービスのアドレス空間に接続され、SYSTEM に属するサービスのトークンを複製し、ハッシュテーブルに保存します。」 - Ron Ben Yizhak

NoFilter ツールは、この方法で WPF を悪用してトークンを複製し、権限昇格を実現します。

研究者によると、DuplicateHandle の呼び出しを回避することでステルス性が向上し、多くのエンドポイント検出および対応ソリューションは悪意のあるアクションを見逃す可能性が高くなります。

2 番目の手法では、IPSec 接続をトリガーし、印刷スプーラーサービスを悪用して SYSTEM トークンをテーブルに挿入します。

RpcOpenPrinter 関数を使用すると、プリンターの -handle を名前で取得します。名前を「\\127.0.0.1」に変更すると、サービスはローカルホストに接続します。

RPC 呼び出しに続いて、SYSTEM トークンを取得するには、WfpAleQueryTokenById に対する複数のデバイス IO リクエストが必要です。

Yizhak 氏は、IPSec ポリシーの構成は通常、ネットワーク管理者のような正当な特権ユーザーによって行われる操作であるため、この方法は最初の方法よりもステルスであると述べています。

「また、このポリシーはコミュニケーションを変えるものではありません。どのサービスも影響を受けるはずはなく、ネットワークアクティビティを監視する EDR ソリューションはローカルホストへの接続を無視する可能性が高くなります。」

Yizhak の投稿で説明されている 3 番目の手法では、水平方向の移動を目的として、侵害されたシステムにログインしている別のユーザーのトークンを取得できます。

研究者によると、ハッシュテーブルにアクセストークンを追加できれば、ログインユーザーの権限でプロセスを起動できるという。

彼は、ログインユーザーとして実行されているリモートプロシージャコール (RPC) サーバーを探し、スクリプトを実行して、ドメイン管理者として実行され、RPC インターフェイスを公開するプロセスを見つけました。

トークンを取得し、ログインしているユーザーの権限で任意のプロセスを起動するために、研究者は、攻撃的ツールの世界における新しいコンポーネントである OneSyncSvc サービスと SyncController.dll を悪用しました。

これら 3 つの手法を Microsoft セキュリティレスポンスセンターに報告した結果、同社はその動作は意図したとおりであると回答したため、ハッカーやペネトレーションテスターはこれら 3 つの手法を採用する可能性があります。これは通常、修正や軽減策がないことを意味します。