Una vulnerabilidad del kernel de Windows 10, al descubierto
Esta vulnerabilidad, bautizada como CVE-2019-0859, reside en el kernel de Windows y permite escalar privilegios para introducir malware de manera persistente en el ordenador. Los sistemas operativos afectados son los de 64 bits de Microsoft, incluyendo Windows 7 y Windows 10.
Una vez que el hacker aprovecha la puerta trasera, puede ejecutar código arbitrario en el modo kernel e instalar programas, ver, modificar, o eliminar datos, además de poder crear nuevos usuarios con permisos de administrador. En concreto, en el kernel win32k.sys, el campo de la Function ID se usa para definir la case de una ventana, como Menú, Escritorio, etc. Un hacker puede aprovechar el fallo para crear una ventana usando una función personalizada.
En todo el proceso, se consigue engañar al sistema para hacerle creer que ha generado una ventana, pero en realidad fallará y no se inicializará. La porción de memoria que el sistema había ubicado para esa ventana ahora queda a merced de lo que el hacker quiera hacer con ella para cargar código.
Era capaz de saltarse la detección por parte de los antivirus
Los hackers que se han aprovechado de esta vulnerabilidad usaban PowerShell para ejecutarla. Primero ejecutaban un script que a su vez descargaba y ejecutaba otro que estaba disponible en Pastebin. Ese script ya ejecuta la versión final del exploit que permite tomar el control del sistema. Al usar PowerShell, además de otras técnicas de codificación, el malware que oculto a ojos de todos los antivirus.
El fallo, por suerte, fue parcheado la semana pasada en el Patch Tuesday, por lo que si tienes actualizado tu sistema operativo al día estarás protegido ante este fallo. Esto es algo que suele hacer Microsoft con frecuencia, lanzando los parches en silencio antes de anunciar la vulnerabilidad para dar algo de margen a los usuarios para que actualicen. Por desgracia, no todos los usuarios tienen los parches al día, y esto hace que actualmente haya cientos de millones de ordenadores afectados por esta vulnerabilidad.
Esta no es la única vulnerabilidad de día cero que ha aparecido recientemente en Windows 10, ya que en los últimos meses ha habido otras cuatro: CVE-2018-8453, CVE-2018-8589, CVE-2018-8611 y CVE-2019-0797. Esta última fue usada por dos grupos de hackeo a nivel mundial, conocidos como SandCat y FruityArmor.
Fuente: adslzone.net
