Saldırganların bir hedefin NTLM kimlik bilgilerini uzaktan çalmasını sağlayan yeni bir Windows temaları sıfır gün güvenlik açığı için ücretsiz gayri resmi yamalar mevcuttur.
NTLM, tehdit aktörlerinin savunmasız ağ cihazlarını kontrolleri altındaki sunuculara karşı kimliği doğrulamaya zorladığı NTLM rölesi saldırılarında yoğun bir şekilde kullanıldı ve NTLM karmalarını elde etmek için sistem güvenlik açıklarını kullandıkları veya kötü amaçlı yazılımlar dağıttıkları ( parolalar) hedeflenen sistemlerden.
Hash'e sahip olduklarında, saldırganlar tehlikeye atılan kullanıcı olarak kimlik doğrulaması yapabilir, hassas verilere erişim kazanabilir ve şimdi işbirliği yapan ağa yanal olarak yayılabilir. Bir yıl önce Microsoft, gelecekte Windows 11'deki NTLM kimlik doğrulama protokolünü öldürmeyi planladığını duyurdu.
Acros güvenlik araştırmacıları, bir kullanıcının kimlik bilgilerini sızdırabilecek CVE-2024-38030 olarak izlenen bir güvenlik sorunu geliştirirken yeni pencereler sıfır günlerini (henüz bir CVE kimliği atanmamış) keşfettiler (Akamai'nin Tomer Peled tarafından bildirilmiştir) , Ocak ayında Microsoft tarafından yamalanmış başka bir pencere temaları sahtekarlık güvenlik açığı (CVE-2024-21320) için bir bypass.
Peled, "Bir tema dosyası bazı tema özellikleri için bir ağ dosyası yolu belirlediğinde (özellikle Brandimage ve Duvar Kağıdı), Windows, bu tür tema dosyası Windows'ta görüntülenirse kullanıcının NTLM kimlik bilgileri de dahil olmak üzere uzak ana bilgisayarlara otomatik olarak kimliği doğrulanmış ağ isteklerini göndereceğini buldu. Explorer. "
Acros Güvenlik CEO'su Mitja Kolsek, "Bu, yalnızca bir klasörde listelenen veya masaüstüne yerleştirilen kötü amaçlı bir tema dosyasının görülmesinin, kullanıcının kimlik bilgilerini ek kullanıcı eylemi olmadan sızdırmak için yeterli olacağı anlamına geliyordu." Dedi.
Microsoft Temmuz ayında CVE-2024-38030'u yamalı olsa da, Acros Security, Windows 7'den Windows 11'e kadar Windows 11'e kadar tüm Windows sürümlerinde bir hedefin NTLM kimlik bilgilerini çalmak için başka bir sorun saldırganının kullanabileceği başka bir sorun buldu.
"Dolayısıyla, sadece CVE-2024-38030'u düzeltmek yerine, Windows temaları dosyaları için Windows'a yalnızca dosyayı görüntüledikten sonra bir tema dosyasına bir ağ isteği gönderen tüm yürütme yollarını kapsayacak daha genel bir yama oluşturduk. "Kolsek ekledi.
Kolsek ayrıca bir video demosunu (aşağıya gömülü) paylaştı ve kötü amaçlı bir Windows tema dosyasını tamamen yamalı bir Windows 11 24H2 sisteminde (sol tarafta) nasıl bir ağ bağlantısını tetiklediğini ve oturum açmış kullanıcının NTLM kimlik bilgilerini açığa çıkardığını gösteriyor. .
Şirket, şirketin 0patch aracısını çalıştıran tüm çevrimiçi Windows sistemlerinde zaten uygulanan Microsoft'tan resmi düzeltmeler mevcut olana kadar, etkilenen tüm Windows sürümleri için 0patch mikroPatching hizmeti aracılığıyla bu sıfır gün hatası için ücretsiz ve gayri resmi güvenlik yamaları sunmaktadır.
Kolsek, "Bu, resmi bir satıcı düzeltmesi bulunmayan bir '0 gün' güvenlik açığı olduğundan, bu tür düzeltme kullanıma gelene kadar mikropatch'larımızı ücretsiz olarak sağlıyoruz." Dedi.
MicroPatch'ı Windows cihazınıza yüklemek için bir 0patch hesabı oluşturun ve 0patch aracını yükleyin. Aracı başlatıldıktan sonra, Micropatch, onu engellemek için özel bir yama politikası yoksa, sistem yeniden başlatılması gerekmeden otomatik olarak uygulanır.
Bununla birlikte, bu durumda, 0Patch'in yalnızca Windows iş istasyonu için mikroPatches sağladığını belirtmek önemlidir, çünkü Windows temaları Masaüstü Deneyimi özelliği yüklenene kadar Windows Server'da çalışmaz.
"Buna ek olarak, bir sunucuda kimlik bilgileri sızıntısı için sadece Windows Gezgini'nde veya masaüstünde bir tema dosyasını görüntülemek yeterli değildir; bunun yerine, tema dosyasının çift tıkanması ve bu şekilde uygulanması gerekir."
Microsoft, BleepingComputer'a "bu raporun farkında olduklarını ve müşterilerin korunmasına yardımcı olmak için gerektiği gibi harekete geçeceklerini" söylerken, Microsoft Güvenlik Müdahale Merkezi Kolsek'e "Bu sorunu tam olarak yamalamak istediklerini söyledi olabildiğince. "
Resmi yamalar mevcut olana kadar 0patch'ın mikroopatch'larına alternatif isteyen Windows kullanıcıları, CVE-2024-21320 Danışmanlığında ayrıntılı olarak NTLM karmalarını engelleyen bir grup politikası uygulanması da dahil olmak üzere Microsoft tarafından sağlanan hafifletme önlemlerini de uygulayabilir.
Microsoft, 2018'den beri Windows Smart App Control Zero Day Soleed'i düzeltiyor
Yeni Windows Server "Winreg" NTLM Röle Saldırısı için yayınlanan istismar
Microsoft: Windows 11 22H2 Home and Pro, Servis Sonu'na ulaştı
Microsoft Ekim 2024 Patch Salı 5 sıfır gün, 118 kusur düzeltiyor
Microsoft, Windows 11 24h2 oyun performans sorunları konusunda uyarıyor
Kaynak: Bleeping Computer