Центр обновления Windows можно взломать, чтобы отменить исправления безопасности

Исследователь безопасности Алон Левиев обнаружил уязвимость в Windows Update, которая позволяет злоумышленникам отключать исправления безопасности без обнаружения. Эта атака понижения версии может потенциально поставить под угрозу полностью обновленные системы Windows и подвергнуть их старым угрозам, которые Microsoft уже исправила.

По словам Левиева, он хотел протестировать защиту, которую Windows предлагает против атак понижения версии. К его удивлению, в Windows практически нет отказоустойчивых средств для предотвращения несанкционированного отката ОС. Исследователь обнаружил серьезные уязвимости в Windows Update, которые он использовал для получения повышенных системных привилегий и обхода системы безопасности Windows. Используя специальный инструмент под названием Windows Downdate, ему удалось понизить версию системных файлов, драйверов и ядра Windows (основная программа, которая полностью контролирует операционную систему) в Windows 10 и 11.

Сделанные им понижения оставались незаметными и постоянными, то есть они были невидимы для Windows Update и средств восстановления системы. Они также необратимы. Атака обманывала жертву, заставляя ее думать, что ее машина обновлена ​​(что подтвердило бы Windows Update). Но основные компоненты были бы тихо заменены на более старые версии, подвергая их тысячам уже исправленных уязвимостей.

Левиев также обнаружил критические уязвимости в безопасности виртуализации Windows, включая Hyper V. Используя эти уязвимости, он сумел понизить и обойти функции безопасности виртуализации. Исследователь предупреждает, что Windows может быть не единственной операционной системой, уязвимой для атак понижения версии.

Никаких атак с использованием этого вектора атаки в дикой природе не было, что является хорошей новостью. Но Левиев продемонстрировал его на Black Hat USA 2024 и DEF CON 32 2024. Он также связался с Microsoft в феврале, когда впервые обнаружил эти угрозы.

С тех пор Microsoft работает над обновлением для их исправления, но спустя шесть месяцев оно все еще недоступно. «Мы активно разрабатываем меры по смягчению последствий для защиты от этих рисков, следуя обширному процессу, включающему тщательное расследование, разработку обновлений для всех затронутых версий и тестирование совместимости, чтобы обеспечить максимальную защиту клиентов с минимальными перебоями в работе», — заявила Microsoft в официальном ответе.

Источник: Алон Левиев через Safebreach