Windows 10 stał się odporny na ataki, które łamały zabezpieczenia starszych „okienek”

Biuletyny bezpieczeństwa z listopada 2016 roku załatały m.in.luki oznaczone jako CVE-2016-7255 (biuletyn MS16-135) orazCVE-2016-7256 (biuletyn MS16-132). Ta pierwsza, zastosowana wspearphishingowym ataku przeciwko organizacjom pozarządowym ithink-tankom w USA, wykorzystywała podatność use-after-free weFlash Playerze, by uruchomić kod, który następnie poprzez lukę wkernelu (type-confusion) uruchamiał się z uprawnieniamiadministratora.

Ta druga dotyczyła operacji przeprowadzonej przeciwko celom wKorei Południowej: luka w bibliotece fontów Windowsa pozwalała nauruchomienie kodu z uprawnieniami administratora, a następniezainstalowanie furtki Hankray w komputerach ofiar.

Techniczne szczegóły tych ataków zostały przedstawione naTechnecie – warto szczególnie przyjrzeć się, jak krok po krokuwykorzystywano fonty obecne w systemach ofiar, by za ich pomocąodtworzyć układy pamięci kernela, tworząc odpowiednie środowiskodla uruchomienia właściwego kodu exploita w momencie infiltracji.Techniki ROP (Return-Oriented Programming) wymagają od napastnikówogromnej precyzji, ale jak widać, pozwalają na bardzo wiele.

Specjaliści Microsoftu podkreślają jednak, że użytkownicyWindowsa 10 korzystający z aktualizacji Anniversary Update niemusieli obawiać się tych exploitów nawet bez łatek. Cała metodazastosowana w CVE-2016-7255 stała się nieskuteczna, powodując wnajgorszym razie zawieszenie systemu i niebieski ekran śmierci. Wodniesieniu zaś do CVE-2016, wykorzystany tam mechanizm izolacjifontów w kontenerze całkowicie zablokował exploitowanie przezzłośliwe fonty wczytane przez przeglądarkę Edge. Dodatkowawalidacja fontów sprawia zaś, że taki font po prostu jestrozpoznawany jako błędny.

Nowe techniki neutralizacji zagrożeń nie są oczywiściepanaceum na windowsowe szkodniki, na pewno jednak znaczniepodwyższają poprzeczkę dla twórców malware – mżna powiedzieć,że dla mniejszych, gorzej finansowanych grup w pewnym momencieatakowanie Windowsa stanie się praktycznie niemożliwe. Pierwszekonsekwencje tej sytuacji już chyba widzimy – styczniowychbiuletynów bezpieczeństwa było zaskakującomało.