Куда я попал?
SECURITM это система для корпоративных служб информационной безопасности,
которая автоматизирует ключевые процессы управления:
контроль соответствия требованиям, управление рисками, учет активов, планирование работ,
задачи, технические уязвимости, опросы и т.д.
SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом в рамках сообщества служб безопасности.
SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом в рамках сообщества служб безопасности.
Угроза
Повышение привилегий в ОС
из-за уязвимости
Возможность перехвата поиска библиотек DLL
в Активе
ОС Windows
Описание угрозы
Повышение привилегий — это использование компьютерного бага, уязвимостей, ошибки в конфигурации операционной системы или программного обеспечения с целью повышения уровня доступа к вычислительным ресурсам, которые обычно защищены от пользователя. В итоге, приложение, обладающее большими полномочиями, чем предполагалось системным администратором, может совершать неавторизированные действия. Повышением привилегий называют ситуацию, когда пользователь компьютерной системы каким-либо образом повышает свои полномочия в этой системе (другими словами: получил возможность делать то, чего прежде делать не мог).
Описание уязвимости
ОС Windows использует общий метод поиска необходимых библиотек DLL для загрузки в программу. Захват DLL-файлов может осуществляться с целью закрепления в инфраструктуре, а также повышения привилегий и/или уклонения от ограничений на выполнение файлов.
Злоумышленник может разместить файлы вредоносной DLL заранее до легитимной библиотеки или заменить существующую библиотеку DLL, чтобы заставить программу загрузить вредоносную библиотеку DLL.
Если уязвимая для поиска программа настроена для запуска на более высоком уровне привилегий, то загружаемая библиотека DLL, контролируемая злоумышленником, также будет выполняться на более высоком уровне. В этом случае метод может быть использован для повышения привилегий.
Программы, которые становятся жертвами захвата пути, могут вести себя нормально, потому что вредоносные библиотеки DLL могут быть настроены также для загрузки легальных библиотек DLL, которые они должны были заменить.
Злоумышленник может разместить файлы вредоносной DLL заранее до легитимной библиотеки или заменить существующую библиотеку DLL, чтобы заставить программу загрузить вредоносную библиотеку DLL.
Если уязвимая для поиска программа настроена для запуска на более высоком уровне привилегий, то загружаемая библиотека DLL, контролируемая злоумышленником, также будет выполняться на более высоком уровне. В этом случае метод может быть использован для повышения привилегий.
Программы, которые становятся жертвами захвата пути, могут вести себя нормально, потому что вредоносные библиотеки DLL могут быть настроены также для загрузки легальных библиотек DLL, которые они должны были заменить.
Описание типа актива
Microsoft Windows любых версий
Область действия: Вся организация
Объекты атаки
Операционная система
Классификация
КЦД:
Целостность
?
STRIDE:
Повышение привилегий
?
Источники угрозы
Внешний нарушитель -
Средний потенциал
?
Внутренний нарушитель -
Средний потенциал
?
Техники ATT@CK:
T1574.001
Hijack Execution Flow:
DLL Search Order Hijacking
Adversaries may execute their own malicious payloads by hijacking the search order used to load DLLs. Windows systems use a comm...
Связанные защитные меры
Ничего не найдено