CVE-2024-43583 - Exploit de Elevación de Privilegios en Windows

Autor: No0B@ckSappi3 Instagram: No0BackSappi3

Descripción general

CVE-2024-43583 es una vulnerabilidad de elevación de privilegios que afecta al componente Winlogon de Microsoft. La explotación de esta falla permite a un usuario con pocos privilegios escalar sus privilegios a SYSTEM, lo que conduce al compromiso total del sistema.

Esta prueba de concepto (PoC) aprovecha el secuestro de depurador (Debugger Hijacking) mediante la clave de registro Image File Execution Options (IFEO) de Windows para reemplazar un proceso legítimo del sistema con una carga útil maliciosa.

Versiones de Windows Afectadas

Versiones de Windows afectadas

Windows 10 (1507 - 22H2) Windows 11 (21H2 - 24H2) Windows Server 2008 SP2 - 2022

⚠️ Aviso legal

Este exploit es solo con fines educativos y de investigación. No lo utilice en sistemas no autorizados. El uso indebido de este exploit puede ser ilegal.

Uso del Exploit

Configuración

Asegúrese de que Python esté instalado en el sistema de destino. Si no es así, use la versión compilada .exe.

Ejecutar el Exploit

Opción 1: Ejecutar directamente desde un usuario con pocos privilegios

python poc-43583.py

Opción 2: Ejecutar mediante el Programador de tareas

1. Crear la tarea programada: (Ejecutar como administrador)
   root@kitploit:~

   schtasks /create /tn "LowPrivExploit" /tr "C:\Path\To\python.exe C:\Path\To\poc-43583.py" /sc once /st 00:00 /ru lowpriv /f
   

2. Ejecutar la tarea:
   root@kitploit:~

   schtasks /run /tn "LowPrivExploit"
   

3. Activar el exploit: Abra el Administrador de tareas (Ctrl + Shift + Esc). Si tiene éxito, aparecerá un shell de SYSTEM en su lugar.

** Verificar la elevación de privilegios**

Una vez que el exploit se ejecute, compruebe sus privilegios:

whoami

Salida esperada:

nt authority\system

🛠️ Limpieza

Método 1: Usar la PoC para restaurar los valores predeterminados

Vuelva a ejecutar el script y seleccione la opción [2] para eliminar el secuestro.

Método 2: Eliminar manualmente la clave de registro

1. Abra el Símbolo del sistema como administrador.
2. Ejecute:
   root@kitploit:~

   reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f
   

3. Eliminar la tarea programada (si se usó):
   root@kitploit:~

   schtasks /delete /tn "LowPrivExploit" /f
   

Detección y Mitigación

• Busque claves Debugger inesperadas:
  root@kitploit:~

  reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  

• Habilite la Protección contra alteraciones de Windows Defender para evitar modificaciones del registro.
• Use soluciones EDR/SIEM para detectar cambios no autorizados en el registro.

📝 Referencias

• Aviso de seguridad de Microsoft
• Guía de desarrollo de exploits