Omri Misgav ed altri ricercatori della Security Researcher hanno scoperto una vulnerabilità che affligge i sistemi Windows fin dalla versione 2000 per arrivare alle ultime release di Windows 10.
Vulnerabilità di basso livello
La vulnerabilità risiede nella PsSetLoadImageNotifyRoutine, meccanismo di basso livello usato da alcuni software di sicurezza per rilevare caricamento di codice nello spazio relativo il kernel o l’utente. La vulnerabilità può esser sfruttata tramite un exploit: ovvero far restituire al meccanismo un modulo non valido in maniera da permettere l’esecuzione di codice maligno nel sistema.
La routine implementata da Microsoft ha lo scopo di notificare quando viene caricata una PE image nel sistema, nello specifico:
- quando vengono caricati driver
- all’esecuzione di processi e DLL di sistema (2 eseguibili per esecuzione WOW64)
- caricamento di immagini PE (LoadLibrary, LoadLibraryEX ecc)
Attualmente il problema è stato segnalato a Microsoft, la quale non lo rileva come un problema di sicurezza. Altre sì rimane da capire quali software antivirus utilizzino questo tipo di meccanismo, in maniera da poter correre ai ripari: i ricercatori non hanno testato alcun software antivirus.