פגיעות PhantomRPC מאפשרת להאקרים להשתלט על מערכת השרת.

קספרסקי גילתה זה עתה את PhantomRPC, פגיעות במנגנון הקריאה לפרוצדורות מרוחקות (RPC) במערכת ההפעלה Windows, הנובעת ממאפייני העיצוב של המערכת וניתנת לניצול על ידי האקרים כדי להתחזות לשרתים ולקבל גישה.

PhantomRPC היא פגיעות במנגנון Remote Procedure Call (RPC) של Windows.

מומחי קספרסקי אומרים כי פגיעות זו אינה נובעת משגיאה ספציפית, אלא מאופן פעולת המערכת, המאפשר להאקרים לנצל אותה כדי להגביר את הגישה ישירות למערכת. במקרה של תהליך עם התחזות, תוקף יכול לנצל זאת כדי להשיג שליטה ברמת המערכת.

כיצד פועל מנגנון התקשורת מרחוק של מיקרוסופט.

קספרסקי ניתחה חמישה תרחישי ניצול נתונים שונים, והראתה כי האקרים יכלו להסלים גישה משירותים מקומיים או הקשורים לרשת לרמות גבוהות יותר, ואף להשיג שליטה על המערכת. מכיוון שהבעיה נובעת מפגם עיצובי, פגיעות זו פותחת בפני כמעט אינספור שיטות תקיפה. כל תהליך או שירות חדשים המשתמשים במנגנוני תקשורת מרחוק (RPC) עלולים להפוך לנקודת ניצול חדשה להרחבת הגישה.

חיידר קביבו, מומחה לאבטחת יישומים בקספרסקי, הצהיר: "שיטות הניצול הספציפיות יכולות להשתנות בהתאם למערכת, בהתאם לגורמים כגון התוכנה המותקנת, ספריות הקישורים הדינמיות המעורבות במנגנון התקשורת מרחוק, והאם שרתי היישומים המתאימים לתקשורת מרחוק זמינים. שונות זו הופכת את הפגיעויות לגורם קריטי בהערכת הסיכונים ובאסטרטגיות התגובה של עסקים."

קספרסקי ממליצה לארגונים ליישם אמצעים לגילוי וטיפול בסיכוני ניצול: ליישם ניטור מבוסס ETW, המאפשר לצוותי אבטחה לזהות אנומליות במנגנוני תקשורת מרחוק בתוך סביבת המערכת, במיוחד כאשר בקשות חיבור מוגשות לשרתים שאינם קיימים או לא זמינים. להגביל את השימוש ב-SeImpersonatePrivilege; יש להעניק הרשאה זו רק לתהליכים שבאמת זקוקים לה.

בינה לאם

מקור: https://www.sggp.org.vn/lo-hong-phantomrpc-cho-phep-tin-tac-chiem-quyen-he-thong-may-chu-post851434.html