Новая атака позволяет хакерам откатывать Windows для взлома через закрытые уязвимости

SafeBreach Labs показали новую атаку под названием 'Windows Downdate', которая позволяет взломать Windows 11, понизив версию системных компонентов и используя старые уязвимости.

Исследователь Alon Leviev обнаружил, что можно нарушить безопасность Windows 11, манипулируя процессом Windows Update для понижения версии ключевых системных компонентов, восстанавливая исправленные уязвимости.

Эта атака была впервые представлена в августе 2024 года на конференциях Black Hat USA 2024 и DEF CON 32. Исследователи опубликовали дополнительные детали, чтобы улучшить понимание этой атаки.

Одна из уязвимостей, которую можно использовать - это обход Driver Signature Enforcement (DSE) с помощью бага "ItsNotASecurityBoundary", что позволяет загружать неподписанные драйвера. Это происходит из-за использования ложной неизменяемости файлов.

Leviev объясняет, как можно использовать эти уязвимости в системах с разными уровнями защиты на основе виртуализации (VBS). Он нашел способы отключения ключевых функций VBS, таких как Credential Guard и HVCI, даже с блокировкой UEFI.

Чтобы атаковать систему без блокировки UEFI, злоумышленник должен отключить VBS, изменив настройки реестра, и понизить модуль ci.dll до уязвимой версии. Для систем с блокировкой UEFI нужно обойти файл SecureKernel.exe, что сложно сделать без физического доступа к системе.

Эта возможность взлома через Windows Update представляет серьезную угрозу, так как позволяет загружать неподписанные драйвера и скрывать процессы, сохраняя незаметность. Атака может привести к использованию старых и исправленных уязвимостей.