Napadači mogu otkriti lozinku za Windows pomoću Chromea i SCF fajlova

Vesti, 18.05.2017, 00:00 AM

Napadači mogu otkriti lozinku za Windows pomoću Chromea i SCF fajlova

Srpski istraživač Boško Stanković otkrio je ozbiljan propust u podrazumevanoj konfiguraciji najnovije verzije Googleovog browsera Chrome koji radi na bilo kojoj verziji Microsoftovog operativnog sistema Windows, uključujući i Windows 10, i koji omogućava napadaču da sa daljine ukrade korisničke kredencijale za prijavljivanje.

Stanković je otkrio da poseta web sajtu koji sadrži maliciozni SCF fajl može hakerima otkriti kredencijale za prijavljivanje na sistem pomoću Chromea.

Tehnika nije nova i već ju je koristio Stuxnet, moćni malver koji je napravljen da bi uništio iranski nuklearni program, koji je koristio Windows shortcut LNK fajlove da bi kompromitovao sisteme. Stanković je zapravo koristio dve tehnike - onu koja je korišćena u operaciji Stuxnet, i drugu koja je viđena 2015. na konferenciji Black Hat. On je ove tehnike primenio u napadu fokusirajući se na SCF fajlove, što je skraćenica za Shell Command File, Format koji podržava ograničeni set Windows Explorer komandi.

Ova vrsta exploita nije nova, ali je obično bila limitirana na lokalne mreže. Ono što ovaj napad razlikuje od drugih je i činjenica da su napadi na browsere bazirani na SMB autentifikaciji prvi put sada javno demonstrirani na Chromeu. Do sada je to bio slučaj samo sa Internet Explorerom i Edgeom.

SCF fajlovi su slični LNK fajlovima. U eri posle napada malvera Stuxnet, LNK fajlovi mogu da učitavaju svoje ikone samo iz lokalnih resursa tako da oni više nisu podložni napadima u kojima su primorani da učitaju maliciozni kod. Microsoft je posle Stuxneta ograničio LNK fajlove, ali ne i SCF fajlove.

Stanković je napravio SCF fajl koji učitava svoju ikonu iz URL-a. Na kraju URL-a stoji SMB server. Kada kompjuter pokuša da učita ikonu sa tog servera, server traži i dobija korisničke kredencijale jer kompjuter misli da je potrebna autentifikacija.

Stanković savetuje korisnicima da isključe automatska preuzimanja u Google Chromeu u Settings --> Show advanced settings, i da zatim označe "ask where to save each file before downloading".

"Trenutno napadač samo treba da namami žrtvu koja koristi potpuno ažuriran Google Chrome i Windows da poseti njegov web sajt da bi mogao da dobije i iskoristi kredencijale za autentifikaciju žrtve. Čak i ako žrtva nije privilegovani korisnik (npr. administrator), ovakva ranjivost može predstavljati značajnu pretnju za velike organizacije jer omogućava napadaču da imitira članove organizacije. Takav napadač bi mogao odmah da upotrebi stečene privilegije za dalje povećanje pristupa i izvođenje napada na druge korisnike ili za dobijanje pristupa i kontrolu IT resursa", kaže Stanković.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Američka bolnica zbog infekcije ransomwareom platila otkup od 55000 dolara iako je imala rezervne kopije

Američka bolnica zbog infekcije ransomwareom platila otkup od 55000 dolara iako je imala rezervne kopije

Regionalna bolnica Hancock Health u Grinfildu, u američkoj državi Indijani, platila je 55000 dolara da bi se otaraslila ransomwarea koji je inficira... Dalje

Fišeri napadaju korisnike Netflixa, traže informacije i sliku sa ličnom kartom

Fišeri napadaju korisnike Netflixa, traže informacije i sliku sa ličnom kartom

Da li biste Netflixu poslali selfi na kome držite svoju ličnu kartu kako biste vratili svoj nalog? Verovatno biste odgovorili sa ne, ali svako od na... Dalje

OnePlus istražuje tvrdnje o zloupotrebi kreditnih kartica koje su kupci koristili na sajtu kompanije

OnePlus istražuje tvrdnje o zloupotrebi kreditnih kartica koje su kupci koristili na sajtu kompanije

Kineski proizvođač Android pametnih telefona OnePlus istražuje tvrdnje da su brojevi kreditnih kartica njegovih kupaca ukradeni posle korišćenja ... Dalje

Propust u VR pornografskoj aplikaciji otkrio imena korisnika

Propust u VR pornografskoj aplikaciji otkrio imena korisnika

Britanska firma Digital Interruption otkrila je propust u VR (virtuelna realnost) pornografskoj aplikaciji SinVR zbog koga je 20000 korisničkih imena... Dalje

OneDrive for Business dobija opciju Files Restore

OneDrive for Business dobija opciju Files Restore

Microsoft će dodati novu funkciju svom OneDrive for Business koja će omogućiti korisnicima kreiranje tačaka vraćanja i vraćanje na prethodne ... Dalje