Un investigador de seguridad de SafeBreach, Alon Leviev (aka _0xDeku/), lanzó una herramienta llamada Windows Downdate, que permite realizar ataques de degradación. Estos ataques reintroducen vulnerabilidades antiguas en sistemas Windows 10, Windows 11 y Windows Server actualizados.
Funcionamiento del ataque de degradación
Los actores de amenazas pueden obligar a los dispositivos objetivo a volver a versiones más antiguas de software, lo que reintroduce vulnerabilidades de seguridad. Estos sistemas pueden ser comprometidos por estas brechas.
Herramienta y uso
Windows Downdate está disponible como un programa de código abierto basado en Python y un ejecutable precompilado para Windows. Puede ayudar a degradar componentes del sistema, incluyendo el hipervisor Hyper-V, el kernel de Windows, los controladores NTFS y Filter Manager.
Ejemplos de uso
Leviev compartió múltiples ejemplos de uso que permiten revertir parches para vulnerabilidades como CVE-2021-27090, CVE-2022-34709, CVE-2023-21768 y PPLFault. También se incluyen ejemplos para degradar el hipervisor, el kernel y evitar bloqueos UEFI de VBS.
Características destacadas
Leviev explicó que la herramienta puede usarse para exponer vulnerabilidades antiguas en DLL, controladores, el kernel NT, el Secure Kernel, el hipervisor y los trustlets de IUM. Además, mencionó que es posible desactivar características como Credential Guard e integridad del código protegido por hipervisor (HVCI), incluso cuando se aplican bloqueos UEFI.
Detalles técnicos
La herramienta fue revelada en Black Hat 2024, donde Leviev explicó que puede explotar las vulnerabilidades CVE-2024-21302 y CVE-2024-38202. El uso de esta herramienta es indetectable porque no puede bloquearse mediante detección y respuesta de endpoints (EDR). Windows Update sigue informando que el sistema está actualizado, incluso después de la degradación.
Recomendaciones de Microsoft
Microsoft lanzó una actualización de seguridad (KB5041773) para corregir la falla de escalamiento de privilegios del modo kernel seguro de Windows CVE-2024-21302 el 7 de agosto. Sin embargo, aún no ha publicado un parche para CVE-2024-38202, una vulnerabilidad de elevación de privilegios en la pila de Windows Update.
Medidas de mitigación
Se recomienda configurar «Auditar acceso a objetos» para monitorear intentos de acceso a archivos. También se sugiere restringir operaciones de actualización y restauración, usar listas de control de acceso y auditar privilegios para identificar intentos de explotar esta vulnerabilidad.