Карточка уязвимости

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Подмена библиотек пакетов аутентификации в Local Security Authority

Злоумышленники могут подменять библиотеки пакетов аутентификации на произвольные библиотеки. Библиотеки DLL пакета проверки подлинности Windows загружаются процессом Local Security Authority (LSA) при запуске системы.

Злоумышленники могут использовать механизм автозапуска, предоставляемый пакетами аутентификации LSA для закрепления в инфраструктуре, поместив ссылку на двоичный файл в расположение реестра Windows:

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\

со значением ключа "Пакеты аутентификации"=<целевой двоичный файл>.

Каталоги

БДУ ФСТЭК:

УБИ.006 Угроза внедрения кода или данных

Угроза заключается в возможности внедрения нарушителем в дискредитируемую информационную систему или IoT-устройство вредоносного...

УБИ.188 Угроза подмены программного обеспечения

Угроза заключается в возможности осуществления нарушителем внедрения в систему вредоносного программного обеспечения за счёт заг...

Техники ATT&CK:

T1547 Boot or Logon Autostart Execution

T1547.002 Boot or Logon Autostart Execution: Authentication Package

Новая БДУ ФСТЭК Способы реализации:

СП.19.4 Изменение (подмена, удаление) системных файлов операционной системы

СП.5.5 Внедрение закладок в системное программное обеспечение

Техники МУ ФСТЭК:

T3.7 Подмена файлов легитимных программ и библиотек непосредственно в системе

T3.14 Планирование запуска вредоносных программ при старте операционной системы путем эксплуатации стандартных механизмов, в том числе путем правки ключей реестра, отвечающих за автоматический запуск программ, запуска вредоносных программ как сервисов и т.п.

Связанные риски

Риск	Связи
Закрепление злоумышленника в ОС из-за подмены библиотек пакетов аутентификации в Local Security Authority в ОС Windows Повышение привилегий НСД

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.