Die PhantomRPC-Schwachstelle ermöglicht es Hackern, die Kontrolle über das Serversystem zu erlangen.

Kaspersky hat PhantomRPC entdeckt, eine Schwachstelle im Remote Procedure Call (RPC)-Mechanismus von Windows, die auf den Designmerkmalen des Systems beruht und von Hackern ausgenutzt werden kann, um sich als Server auszugeben und Zugriff zu erlangen.

PhantomRPC ist eine Sicherheitslücke im Remote Procedure Call (RPC)-Mechanismus von Windows.

Kaspersky-Experten zufolge beruht diese Schwachstelle nicht auf einem spezifischen Fehler, sondern auf der Funktionsweise des Systems. Dadurch können Hacker sie ausnutzen, um sich direkten Zugriff auf das System zu verschaffen. Im Falle eines Prozesses mit Identitätswechsel könnte ein Angreifer dies nutzen, um die Kontrolle über das gesamte System zu erlangen.

So funktioniert der Fernkommunikationsmechanismus von Microsoft.

Kaspersky analysierte fünf verschiedene Angriffsszenarien und zeigte, dass Hacker den Zugriff von lokalen oder netzwerkbezogenen Diensten auf höhere Ebenen ausweiten und sogar die Kontrolle über das System erlangen können. Da das Problem auf einem Designfehler beruht, eröffnet diese Schwachstelle nahezu unzählige Angriffsmöglichkeiten. Jeder neue Prozess oder Dienst, der Remote-Kommunikationsmechanismen (RPC) nutzt, kann zu einem neuen Angriffspunkt für die Zugriffserweiterung werden.

Haidar Kabibo, Spezialist für Anwendungssicherheit bei Kaspersky, erklärte: „Die konkreten Ausnutzungsmethoden können je nach System variieren, abhängig von Faktoren wie der installierten Software, den im Remote-Kommunikationsmechanismus verwendeten dynamischen Linkbibliotheken und der Verfügbarkeit der entsprechenden Remote-Kommunikationsanwendungsserver. Diese Variabilität macht Schwachstellen zu einem kritischen Faktor in den Risikobewertungs- und Reaktionsstrategien von Unternehmen.“

Kaspersky empfiehlt Unternehmen, Maßnahmen zur Erkennung und Minderung von Ausnutzungsrisiken zu ergreifen: Implementieren Sie ETW-basiertes Monitoring, das es Sicherheitsteams ermöglicht, Anomalien in den Remote-Kommunikationsmechanismen der Systemumgebung zu identifizieren, insbesondere bei Verbindungsanfragen an nicht existierende oder nicht verfügbare Server. Beschränken Sie die Verwendung der Berechtigung „SeImpersonatePrivilege“; diese Berechtigung sollte nur Prozessen gewährt werden, die sie tatsächlich benötigen.

BINH LAM

Quelle: https://www.sggp.org.vn/lo-hong-phantomrpc-cho-phep-tin-tac-chiem-quyen-he-thong-may-chu-post851434.html