Ошибка, получившая название BadTunnel, присутствует во всех версиях операционной системы Microsoft, как современных, так и устаревших и не поддерживаемых. Воспользовавшись ей, злоумышленник получает возможность полностью контролировать сетевой трафик жертвы.
Речь идёт не только об отправляемых браузером запросах HTTP и HTTPS, а обо всей сетевой активности ОС. В частности, BadTunnel позволяет вмешиваться в загрузку системных обновлений и процесс получения списков отозванных сертификатов, которые необходимы криптографической подсистемы Windows.
Файрволлы или NAT — не помеха для атаки, которая проводится с применением BadTunnel. «Файрволлы не способны остановить атаку, потому что протокол UDP не устанавливает соединения, — поясняет обнаруживший уязвимость исследователь Ян Юй. — Мы используем его, чтобы создать туннель. Как раз поэтому уязвимость называется BadTunnel».
Уязвиомость позволяет злоумышленнику отвечать на запросы имён NetBIOS и маскироваться под серверы WPAD, которые служат для автоматической настройки прокси, и ISATAP, нужные для передачи пакетов IPv6 через сети IPv4.
Атака начинается, когда жертва открывает специальный URL, файл или даже просто втыкает флэшку в компьютер. «К примеру, если путь к файлу в виде URI или UNC встроен в ярлык Windows, то атака BadTunnel сработает в момет, когда пользователь просматривает файл в «Проводнике», — пишет Юй. — Таким манером уязвимость может эксплуатироваться через веб-страницы, электронные письма, флэшки и другие носители информации».
Компания Microsoft распространила обновление, которое устраняет ошибку в последних версиях Windows. Уязвимость сохранилась в устаревших версиях Windows, поддержка которых уже прекращена. В частности, атакам, основанных на эксплуатации BadTunnel, по-прежнему подвержены Windows XP и Windows Server 2003. Их пользователи могут обезопасить себя, заблокировав порт UDP 137.
1 728
