La función de recuperación de Microsoft es más pirateable de lo que pensabas

El director ejecutivo de Microsoft, Satya Nadella, elogió la nueva función de recuperación de la compañía, que almacena el historial del escritorio de su computadora y lo pone a disposición de la inteligencia artificial para que lo analice, como una «memoria fotográfica» de su computadora. Mientras tanto, dentro de la comunidad de ciberseguridad, la idea de una herramienta que toma silenciosamente una captura de pantalla de su escritorio cada cinco segundos ha sido aclamada como el sueño de un hacker hecho realidad y la peor idea de producto de los últimos tiempos.

Ahora, los investigadores de seguridad han señalado que incluso la única salvaguarda de seguridad restante destinada a proteger esta característica de la explotación podría ser derrotada de manera trivial.

Desde que Recall se anunció por primera vez el mes pasado, el mundo de la ciberseguridad ha señalado que si un pirata informático puede instalar malware para establecerse en un dispositivo específico con la función habilitada, puede acceder rápidamente a todo el historial del usuario almacenado por la función. El único obstáculo para esta vista de alta resolución de toda la vida de una víctima frente a un teclado parece ser que acceder a los datos de Recall requiere privilegios de administrador en el dispositivo del usuario. Esto significa que el malware sin privilegios de nivel superior activará una ventana emergente de permiso, lo que permitirá a los usuarios denegar el acceso, y es probable que este malware también tenga bloqueado de forma predeterminada el acceso a los datos en la mayoría de los dispositivos corporativos.

Luego, James Forshaw, investigador del equipo de investigación de vulnerabilidades del Proyecto Cero de Google, publicó el miércoles Actualizar a una publicación de blog Señalando que encontró formas de acceder a los datos del retiro. sin Privilegios de administrador: esencialmente eliminando hasta la última hoja de parra de protección. “No se requiere administrador ;-)”, finalizó la publicación.

«Maldito» Forsho Añadido en Mastodonte. «Realmente pensé que la seguridad de la base de datos de invocación sería al menos segura».

La publicación del blog de Forshaw describió dos métodos diferentes para eludir los requisitos de privilegios de administrador, los cuales explotan formas de eludir una función de seguridad central en Windows conocida como listas de control de acceso que especifican qué elementos de la computadora requieren privilegios para leer y modificar. Un método de Forshaw explota una excepción a estos menús de control, haciéndose pasar temporalmente por un programa en máquinas con Windows llamado AIXHost.exe que puede acceder incluso a bases de datos restringidas. Hay otra forma más sencilla: Forshaw señala que debido a que los datos de recuperación almacenados en el dispositivo se consideran propiedad del usuario, un pirata informático con los mismos privilegios que el usuario podría simplemente reescribir las listas de control de acceso en el dispositivo de destino para darse acceso a sí mismo. a la base de datos completa.

Esta segunda técnica, más sencilla, es «bastante sorprendente, francamente», dice Alex Hagina, estratega de ciberseguridad y hacker ético. Hagenah creó recientemente una herramienta de piratería de prueba de concepto llamada TotalRecall diseñada para mostrar que alguien que obtuviera acceso al dispositivo de una víctima usando Recall podría extraer instantáneamente todo el historial del usuario registrado por la función. Sin embargo, la herramienta de Hagina todavía requiere que los piratas informáticos encuentren otra forma de obtener privilegios de administrador mediante la técnica llamada «escalada de privilegios» antes de que su herramienta pueda funcionar.

Con la tecnología de Forshow, «no se necesita ninguna escalada de privilegios, ni ventanas emergentes, nada», afirma Hagina. «Tendría sentido implementar esto en la herramienta para un tipo malo».