Новый «нулевой день» в Windows раскрывает учетные данные NTLM и получает неофициальное исправление

Обнаружена новая уязвимость нулевого дня, позволяющая злоумышленникам перехватить учетные данные NTLM, просто обманом заставив цель просмотреть вредоносный файл в проводнике Windows.

Дефект был обнаружен командой 0patch - платформы, обеспечивающей неофициальную поддержку устаревших версий Windows, и о нем было сообщено Microsoft. Однако официального исправления пока не выпущено.

По данным 0patch, проблема, которая на данный момент не имеет идентификатора CVE, затрагивает все версии Windows, начиная с Windows 7 и Server 2008 R2 и заканчивая последними Windows 11 24H2 и Server 2022.

Эксплойт без кликов

0patch не разглашает технические подробности уязвимости нулевого дня до тех пор, пока Microsoft не предоставит официальное исправление, чтобы предотвратить активную эксплуатацию в дикой природе.

Исследователи объяснили, что атака осуществляется простым просмотром специально созданного вредоносного файла в File Explorer, поэтому открытие файла не требуется.

«Уязвимость позволяет злоумышленнику получить NTLM-учетные данные пользователя, просто заставив его просмотреть вредоносный файл в проводнике Windows - например, открыв общую папку или USB-диск с таким файлом, или просмотрев папку «Загрузки», где такой файл был ранее автоматически загружен с веб-страницы злоумышленника», - поясняет 0patch.

Хотя 0Patch не сообщает дальнейших подробностей об уязвимости, BleepingComputer понимает, что она заставляет установить исходящее NTLM-соединение с удаленным ресурсом. Это заставляет Windows автоматически отправлять NTLM-хэши для вошедшего в систему пользователя, которые злоумышленник может затем украсть.

Как неоднократно демонстрировалось, эти хэши могут быть взломаны, что позволяет угрозам получить доступ к именам пользователей и паролям в открытом тексте. Год назад Microsoft объявила о своих планах отказаться от протокола аутентификации NTLM в Windows 11 в будущем.

0patch отмечает, что это уже третья уязвимость нулевого дня, о которой они недавно сообщили Microsoft и которую производитель не принял немедленных мер по устранению.

Две другие - это обход Mark of the Web (MotW) в Windows Server 2012, о котором стало известно в конце прошлого месяца, и уязвимость в Windows Themes, позволяющая удаленно красть учетные данные NTLM, раскрытая в конце октября. Обе проблемы остаются неисправленными.

0patch утверждает, что другие уязвимости NTLM, раскрытые в прошлом, такие как PetitPotam, PrinterBug/SpoolSample и DFSCoerce, остаются без официального исправления в последних версиях Windows, оставляя пользователям только микропатчи, предоставленные 0patch.

Доступны бесплатные микропатчи

0patch будет предлагать бесплатный микропатч для последнего нулевого дня NTLM всем пользователям, зарегистрированным на платформе, до тех пор, пока Microsoft не предоставит официальное исправление.

Учетные записи PRO и Enterprise уже получили микропатч безопасности автоматически, если только их конфигурация явно не препятствует этому.

Чтобы получить это неофициальное исправление, создайте бесплатную учетную запись на 0patch Central, запустите бесплатную пробную версию, а затем установите агент и позвольте ему автоматически применить соответствующие микропатчи. Перезагрузка не требуется.

Пользователи, которые не хотят применять неофициальный патч, предоставляемый 0patch, могут отключить NTLM-аутентификацию с помощью групповой политики в разделе «Параметры безопасности > Локальные политики > Параметры безопасности» и настроить политику «Безопасность сети: Ограничить NTLM». Того же можно добиться с помощью модификаций реестра.

Обновление 12/7 - В ответ на запрос BleepingComputer о комментарии компания Microsoft сообщила следующее:

«Мы расследуем это сообщение и примем необходимые меры, чтобы обеспечить защиту пользователей». - представитель Microsoft