Falha grave no Windows facilita ataques de Kernel com drivers não assinados
Pesquisadores de cibersegurança descobriram uma vulnerabilidade que possibilita contornar o sistema de assinatura de drivers da Microsoft, abrindo caminho para a instalação de rootkits em sistemas Windows. A técnica, chamada de “downgrade do sistema operacional”, permite que invasores carreguem drivers não assinados no kernel, comprometendo a segurança e permitindo ocultar processos e atividades de rede maliciosas.
Método de ataque e ferramentas utilizadas
Segundo o pesquisador Alon Leviev, a vulnerabilidade é explorada por uma ferramenta chamada “Windows Downdate”. Ela sequestra o processo de atualização do Windows para fazer um downgrade invisível e irreversível em componentes críticos do sistema. Isso permite reverter o sistema para versões antigas que contenham falhas corrigidas, facilitando a exploração. Esse método é uma evolução dos ataques conhecidos como Bring Your Own Vulnerable Driver (BYOVD), pois oferece aos invasores maior controle sobre o sistema comprometido.
Respostas da Microsoft e mitigações recomendadas
A Microsoft já tratou falhas relacionadas a esse tipo de ataque nas atualizações de segurança de agosto e outubro de 2024, abordando vulnerabilidades como CVE-2024-21302 e CVE-2024-38202. Entretanto, a técnica mencionada por Leviev ainda explora uma vulnerabilidade documentada por Gabriel Landau em julho de 2024, chamada “ItsNotASecurityBoundary”. Ela permite substituir um arquivo de catálogo de segurança por uma versão adulterada, forçando o sistema a carregar drivers não assinados e permitindo a execução de código no kernel.
Como proteger seu sistema
Embora a Virtualização Baseada em Segurança (VBS) possa mitigar esses ataques, ela deve ser configurada corretamente para ser eficaz. O VBS verifica a integridade do catálogo por meio da biblioteca “skci.dll” em vez de “ci.dll”, o que ajuda a impedir a exploração. Contudo, invasores ainda podem desativar o VBS alterando configurações no Registro do Windows ou modificando o “SecureKernel.exe”.
Para uma proteção eficaz, a Microsoft recomenda ativar o VBS juntamente com o bloqueio UEFI e um sinalizador obrigatório no registro. Esse conjunto de medidas impede que o sistema inicialize se módulos críticos estiverem ausentes ou corrompidos, reforçando a segurança contra essa nova técnica de ataque.
Fonte: BoletimSec
Saiba mais sobre o Seguro Cyber:
