Темы Windows 10 используются для кражи учетных данных

Специально разработанные темы для Windows 10 может использоваться в нападки "Pass-the-Hash" для кражи учетных данных из Windows счета ничего не подозревающий пользователь.

Windows позволяет пользователям создавать собственные темы, содержащие цвета, звуки, курсоры мыши и обои, которые использует операционная система.

Οι пользователи Затем Windows может изменить темы, чтобы изменить внешний вид операционной системы.

Настройки темы сохраняются в папке % AppData% \ Microsoft \ Windows \ Themes, как файл с расширением .theme (например, "Custom Dark.theme").

Темы Windows могут быть доступны другим пользователям. пользователи щелкните правой кнопкой мыши активную тему и выберите «Сохранить тему для совместного использования», в результате чего тема станет файл ".Deskthemepack".

Затем эти пакеты тем рабочего стола можно быть уведомленным через e-mail или как загрузки на веб-сайтах и ​​быть установленным двойным щелчком по ним.

Но исследователь безопасности Джимми Бэйн (@bohops) показали, что специально разработанные темы Windows можно использовать для выполнение атак Pass-the-Hash.

Атаки Pass-the-Hash используются для Кража учетных данных Windows (имена для входа и хеши паролей), заставляя пользователя подключиться к удаленному сервер обмен файлами, для которого требуется подтверждение входа.

При приобретении доступ, Windows автоматически попытается подключиться к удаленной системе отправив имя пользователя для входа и NTLM-хэш пароля.

При атаке Pass-the-Hash отправленные учетные данные собираются ими. Хакеры, кто потом пытается сделать пароль dehash для доступа к логину и паролю пользователей.

Сброс простого пароля можно выполнить за считанные секунды.

В новом методе, открытом Бэйном, злоумышленник может создать специально разработанный файл .theme и изменить настройки обоев рабочего стола, чтобы использовать система который требует удаленной аутентификации.

Затем данные пользователя отправляются описанным выше способом. Злоумышленник может собирать учетные данные и выполнять их удаление с помощью специальных скриптов.

Поскольку Microsoft отказывается от локальных учетных записей Windows 10, удаленные злоумышленники могут использовать это атака чтобы упростить доступ к тысячам удаленных служб, предлагаемых Microsoft.

Это включает возможный доступ к e-mail, Azure или в корпоративных сетях удаленно.

Бэйн сказал, что он сообщил об атаке Microsoft в начале этого года, но ему сказали, что она не будет исправлена, так как она «зависит от конструкции».

Защита Windows от вредоносных программ

Бейн рекомендовал исключить расширения: .theme, .themepack и .desktopthemepackfile. Однако это будет отключено "Темы Windows 10", Поэтому пользователи могут это сделать, только если им не нужно переходить к другой теме.

Пользователи Windows 10 также могут использовать «Сетевая безопасность: ограничить NTLM: исходящий трафик NTLM на удаленные серверы"И установите его на"Запретить всеЧтобы предотвратить удаленную отправку учетных данных NTLM системы.

Наконец, приложение многофакторной аутентификации в учетных записях Microsoft - это хороший способ предотвратить это доступ третьи лица в аккаунте.