Карточка уязвимости

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Возможность подмены библиотек Winlogon

Злоумышленники могут использовать функции Winlogon для выполнения библиотек DLL и/или исполняемых файлов при входе пользователя в систему для закрепления в инфраструктуре.
Следующие записи реестра используются для управления дополнительными вспомогательными программами и функциональными возможностями, поддерживающими Winlogon:

HKLM\Software[\\Wow6432Node\\]\Microsoft\Windows NT\CurrentVersion\Winlogon\
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\

Модификации этих разделов реестра могут привести к тому, что Winlogon загрузит и выполнит вредоносные библиотеки DLL и/или исполняемые файлы.

Каталоги

БДУ ФСТЭК:

УБИ.089 Угроза несанкционированного редактирования реестра

Угроза заключается в возможности внесения нарушителем изменений в используемый дискредитируемым приложением реестр, которые влия...

УБИ.188 Угроза подмены программного обеспечения

Угроза заключается в возможности осуществления нарушителем внедрения в систему вредоносного программного обеспечения за счёт заг...

Техники ATT&CK:

T1112 Modify Registry

T1547.004 Boot or Logon Autostart Execution: Winlogon Helper DLL

Новая БДУ ФСТЭК Способы реализации:

СП.19.4 Изменение (подмена, удаление) системных файлов операционной системы

Техники МУ ФСТЭК:

T4.5 Внесение соответствующих записей в реестр, автозагрузку, планировщики заданий, обеспечивающих запуск вредоносного программного обеспечения при перезагрузке системы или сети

T3.14 Планирование запуска вредоносных программ при старте операционной системы путем эксплуатации стандартных механизмов, в том числе путем правки ключей реестра, отвечающих за автоматический запуск программ, запуска вредоносных программ как сервисов и т.п.

Связанные риски

Риск	Связи
Закрепление злоумышленника в ОС из-за возможности подмены библиотек Winlogon в ОС Windows Повышение привилегий НСД

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.