CVE-2024-43583 - Exploit de Elevação de Privilégios no Windows

Autor: No0B@ckSappi3 Instagram: No0BackSappi3

Visão Geral

CVE-2024-43583 é uma vulnerabilidade de elevação de privilégio que afeta o componente Winlogon da Microsoft. Explorar essa falha permite que um usuário com privilégios baixos eleve seus privilégios para SYSTEM, comprometendo totalmente o sistema.

Esta prova de conceito (PoC) utiliza o Debugger Hijacking por meio da chave de registro Image File Execution Options (IFEO) do Windows para substituir um processo legítimo do sistema por um payload malicioso.

Versões do Windows Afetadas

Windows 10 (1507 - 22H2) Windows 11 (21H2 - 24H2) Windows Server 2008 SP2 - 2022

⚠️ Aviso Legal

Este exploit é apenas para fins educacionais e de pesquisa. Não o utilize em sistemas não autorizados. O uso indevido deste exploit pode ser ilegal.

Uso do Exploit

Configuração

Certifique-se de que o Python esteja instalado no sistema alvo. Caso contrário, use a versão compilada em .exe.

Execute o Exploit

Opção 1: Execute diretamente a partir de um usuário com privilégios baixos

python poc-43583.py

Opção 2: Execute por meio do Agendador de Tarefas

1. Criar Tarefa Agendada: (Executar como Administrador)
   root@kitploit:~

   schtasks /create /tn "LowPrivExploit" /tr "C:\Path\To\python.exe C:\Path\To\poc-43583.py" /sc once /st 00:00 /ru lowpriv /f
   

2. Executar a Tarefa:
   root@kitploit:~

   schtasks /run /tn "LowPrivExploit"
   

3. Disparar o Exploit: Abra o Gerenciador de Tarefas (Ctrl + Shift + Esc). Se for bem-sucedido, um shell SYSTEM aparecerá no lugar.

Verificar a Elevação de Privilégios

Após a execução do exploit, verifique seus privilégios:

whoami

Saída esperada:

nt authority\system

🛠️ Limpeza

Método 1: Use a PoC para Restaurar os Padrões

Execute o script novamente e selecione a opção [2] para remover o sequestro.

Método 2: Exclua Manualmente a Chave de Registro

1. Abra o Prompt de Comando como Administrador.
2. Execute:
   root@kitploit:~

   reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f
   

3. Exclua a Tarefa Agendada (se usada):
   root@kitploit:~

   schtasks /delete /tn "LowPrivExploit" /f
   

Detecção e Mitigação

• Verifique se há chaves Debugger inesperadas:
  root@kitploit:~

  reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  

• Ative a Proteção contra Adulteração (Tamper Protection) do Windows Defender para impedir modificações no registro.
• Use soluções de EDR/SIEM para detectar alterações não autorizadas no registro.

📝 Referências

• Aviso de Segurança da Microsoft
• Guia de Desenvolvimento de Exploit