Microsoftのリコール機能は思ったよりもハッキングされやすい

Microsoftの最高経営責任者（CEO）サティア・ナデラ氏は、コンピュータのデスクトップの履歴を保存し、人工知能が分析できるようにする同社の新しいリコール機能を、コンピュータの「写真メモリ」と称賛した。 一方、サイバーセキュリティ コミュニティ内では、5 秒ごとにデスクトップのスクリーンショットをサイレントに取得するツールのアイデアが、ハッカーの夢の実現であり、最近の記憶にない最悪の製品アイデアとして歓迎されています。

現在、セキュリティ研究者らは、この機能を悪用から保護するための唯一残っているセキュリティ保護手段でさえ簡単に破られる可能性があると指摘しています。

Recall が先月初めて発表されて以来、サイバーセキュリティ業界は、ハッカーがマルウェアをインストールして、この機能が有効になっている標的のデバイスに足がかりを得ることができれば、この機能によって保存されているユーザー履歴全体に迅速にアクセスできる可能性があると指摘してきました。 キーボードの前での被害者の生涯全体を高解像度で表示することに対する唯一の障害は、リコール データにアクセスするにはユーザーのデバイスの管理者権限が必要であることのようです。 これは、トップレベルの権限を持たないマルウェアが許可ポップアップをトリガーして、ユーザーがアクセスを拒否できることを意味します。また、このマルウェアは、ほとんどの企業デバイス上のデータへのアクセスもデフォルトでブロックされる可能性があります。

その後、GoogleのProject Zero脆弱性研究チームの研究者であるJames Forshaw氏が水曜日に次のように投稿した。 ブログ投稿を更新する リコールデータにアクセスする方法を見つけたと指摘 それなし 管理者権限 – 実質的に、保護の最後の部分まで剥奪されます。 「管理者は必要ありません ;-)」投稿は終了しました。

「くそー」フォルショ マストドンに追加されました。 「召喚データベースのセキュリティは少なくとも安全だと思っていました。」

Forshaw のブログ投稿では、管理者権限の要件を回避する 2 つの異なる方法について説明しました。どちらも、コンピュータ上のどの項目に読み取りと変更の権限が必要かを指定する、アクセス制御リストとして知られる Windows の中核的なセキュリティ機能を回避する方法を悪用したものです。 Forshaw の手法の 1 つは、これらのコントロール メニューの例外を悪用し、制限されたデータベースにもアクセスできる Windows マシン上の AIXHost.exe というプログラムを一時的に偽装します。 別のより簡単な方法があります。フォーショー氏は、デバイスに保存されているリコール データはユーザーの所有物と見なされるため、ユーザーと同じ権限を持つハッカーがターゲット デバイスのアクセス制御リストを単純に書き換えて、自分自身にアクセス権を与える可能性があると指摘しています。完全なデータベースに。

この 2 番目の単純なバイパス手法は、「率直に言って、かなり驚くべきものです」とサイバーセキュリティ戦略家で倫理ハッカーのアレックス・ハギナ氏は言います。 Hagenah 氏は最近、TotalRecall と呼ばれる概念実証用のハッキング ツールを開発しました。このツールは、Recall を使用して被害者のデバイスにアクセスした人物が、この機能によって記録されたすべてのユーザー履歴を即座に取得できることを示すことを目的としています。 ただし、Hagina のツールが機能する前に、ハッカーはいわゆる「権限昇格」手法を通じて管理者権限を取得する別の方法を見つける必要があります。

Forshow のテクノロジーを使用すると、「特権昇格もポップアップも何も必要ありません」とハギナ氏は言います。 「これを悪者向けのツールに実装するのは理にかなっています。」