Техника на mitre.org

T1068: Эксплуатация уязвимостей для повышения привилегий

Злоумышленники могут эксплуатировать уязвимости в ПО с целью повышения уровня своих привилегий. Эксплуатацией уязвимостей в программном обеспечении называют использование злоумышленниками ошибок программирования в приложении, службе или операционной системе, включая ядро, для выполнения своего кода. Меры безопасности, такие как уровни разрешений, как правило, затрудняют доступ к информации и использование определенных техник, так что злоумышленникам обычно приходится искать способы повышения привилегий для обхода этих ограничений и эксплуатации уязвимостей в ПО.

При первоначальном доступе к системе злоумышленники могут работать в процессе с низкими привилегиями, что не позволит им получить доступ к определенным ресурсам в системе. В компонентах операционной системы и программном обеспечении, обычно требующих более высокого уровня привилегий, могут существовать уязвимости, которые можно использовать для получения доступа к системе на более высоких уровнях. Такие уязвимости могут позволить злоумышленникам перейти с уровня непривилегированного пользователя на уровень разрешений SYSTEM или root (в зависимости от операционной системы). Они также могут дать злоумышленникам возможность перейти из виртуализированной среды, такой как виртуальная машина или контейнер, непосредственно на сам хост, где она развернута. Такой шаг может быть необходим для компрометации конечной системы, которая была сконфигурирована правильно и ограничивала использование других методов повышения привилегий.

Злоумышленники могут установить в скомпрометированной системе подписанный уязвимый драйвер с целью использования уязвимости для выполнения кода в режиме ядра. Эта техника известна как Bring Your Own Vulnerable Driver (BYOVD). Злоумышленники могут включить уязвимый драйвер в файлы, внедряемые при первоначальном доступе, или же загрузить его в скомпрометированную систему, используя технику Передача инструментов из внешней сети или Передача инструментов внутри периметра.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

unix_mitre_attck_privilege_escalation: PT-CR-1747: Unix_Exploiting_OverlayFS: Повышение привилегий с помощью уязвимости ядра Linux, связанной с файловой системой OverlayFS (CVE-2023-0386) unix_mitre_attck_privilege_escalation: PT-CR-2403: CVE_2024_1086_Linux_LPE: Эксплуатация уязвимости CVE-2024-1086 в компоненте netfilter. Злоумышленник может выполнить код на уровне ядра и повысить свои привилегии в системе при помощи ошибки двойного освобождения памяти в модуле nf_tables pt_nad: PT-CR-737: NAD_SAM_Account_Name_Spoofing: Пользователь запросил TGT-билет vulnerabilities: PT-CR-2469: CVE_2024_26229_CSC_Service_PrivEsc: Эксплуатация уязвимости CVE-2024-26229 в драйвере автономных файлов csc.sys позволяет злоумышленнику с привилегиями пользователя повысить свои права до NT AUTHORITY/SYSTEM в текущем сеансе командной строки. Это может привести к компрометации локальных и доменных учетных записей пользователей системы, а также пользователей, ранее получавших доступ к узлу. Используя скомпрометированные данные, злоумышленник может перемещаться внутри периметра целевой инфраструктуры vulnerabilities: PT-CR-891: Possible_CVE_2020_1350: Возможная эксплуатация уязвимости CVE-2020-1350 vulnerabilities: PT-CR-893: PrinterPort_Backdoor: Возможная эксплуатация уязвимости CVE-2020-1048 службы печати Windows vulnerabilities: PT-CR-892: Possible_CVE_2021_1647: Возможная эксплуатация уязвимости CVE-2021-1647 в Windows Defender vulnerabilities: PT-CR-829: Certified_Priv_Esc_CVE_2022_26923: Привилегии в домене повышены через уязвимость CVE-2022-26923 в службах сертификатов Active Directory vulnerabilities: PT-CR-2078: CVE_2023_4911_GLIBC_Buffer_Overflow: Правило обнаруживает локальное повышение привилегий через переполнение буфера. Атакующие, используя уязвимость CVE-2023-4911, могут запустить SUID-программы для выполнения кода с повышенными привилегиями vulnerabilities: PT-CR-1994: CVE_2023_22515_Confluence: Эксплуатация уязвимости CVE-2023-22515 в Confluence, связанная с созданием аккаунтов с правами администратора без аутентификации на сервере vulnerabilities: PT-CR-2074: Subrule_CVE_2023_4911_GLIBC_Buffer_Overflow: Сабруль к правилу CVE_2023_4911_GLIBC_Buffer_Overflow. Правило обнаруживает локальное повышение привилегий через переполнение буфера. Атакующие, используя уязвимость CVE-2023-4911, могут запустить SUID-программы для выполнения кода с повышенными привилегиями vulnerabilities: PT-CR-863: Symlink_Via_SpoolDirectory: Непривилегированный пользователь произвел запись с помощью ссылки и службы spooler vulnerabilities: PT-CR-1719: PrivEsc_Via_UAC_Elevated_Data: Попытка повысить привилегии до системных с помощью утилиты IFaultrepElevatedDataCollectionUAC vulnerabilities: PT-CR-628: CVE_2021_41379_Exploitation: Эксплуатация уязвимости CVE-2021-41379 vulnerabilities: PT-CR-890: Possible_CVE_2019_1388: Возможная эксплуатация уязвимости CVE-2019-1388 vulnerabilities: PT-CR-681: CVE_2022_26503_Exploitation: Эксплуатация уязвимости CVE-2022-26503 vulnerabilities: PT-CR-862: Subrule_StartProcess_And_Create_ConfigMsi: Пользователь запустил приложение, которое пытается создать системный каталог С:\Config.msi vulnerabilities: PT-CR-889: LPE_7zip_CVE_2022_29072: Возможная эксплуатация уязвимости CVE-2022-29072 в 7-Zip для повышения привилегий vulnerabilities: PT-CR-1983: Possible_CVE_2023_20198_Cisco_IOS_XE: Возможная эксплуатация уязвимости CVE-2023-20198 в Cisco IOS XE, связанная с повышением привилегий путем создания новой учетной записи администратора vulnerabilities: PT-CR-850: PrintSpooler_PrivEsc_CVE_2022_30206: Повышение привилегий с помощью уязвимости CVE-2022-30206 в службе печати Print Spooler vulnerabilities: PT-CR-849: PrintSpooler_PrivEsc: Привилегии повышены через уязвимость службы печати Print Spooler vulnerabilities: PT-CR-683: CVE_2022_26503_Subrule_2: Процесс Veeam.EndPoint.Service запустил другой процесс sap_attack_detection: PT-CR-157: SAPASABAP_Start_Critical_Module: Запуск критически важного функционального модуля SAP sap_attack_detection: PT-CR-158: SAPASABAP_Start_Critical_Transaction: Запуск критически важной транзакции SAP mitre_attck_privilege_escalation: PT-CR-857: Subrule_Elevated_Process_Run: Непривилегированный пользователь запустил процесс mitre_attck_privilege_escalation: PT-CR-861: Subrule_Pwned_Pipe: Процесс открыл подозрительный канал mitre_attck_privilege_escalation: PT-CR-1218: Subrule_RasMan_Pipe: Вспомогательное правило для обнаружения техники повышения привилегий через Rasman Potato mitre_attck_privilege_escalation: PT-CR-859: Subrule_IMarshal_Interface: Обнаружено создание интерфейса IMarshal mitre_attck_privilege_escalation: PT-CR-853: RoguePotato_PrivEsc: Привилегии повышены с помощью техники RoguePotato mitre_attck_privilege_escalation: PT-CR-1217: RasMan_Potato: Обнаружено локальное повышение привилегий от служебной учетной записи до прав SYSTEM с помощью техники RasmanPotato mitre_attck_privilege_escalation: PT-CR-1933: GodPotato_PrivEsc: Повышение привилегий с помощью техники GodPotato позволяет злоумышленнику с привилегией ImpersonatePrivilege повысить свои права до пользователя System. После этого злоумышленник может извлечь со компрометированного узла учетные данные к различным сервисам локальных пользователей, а в некоторых случаях и других пользователей, получавших доступ к данному узлу. Использование этих данных позволит злоумышленнику горизонтально переместиться (Lateral Movement) на другие узлы инфраструктуры. mitre_attck_privilege_escalation: PT-CR-2491: CVE_2022_38028_PrivEsc_Via_Spoolsv: Эксплуатация уязвимости CVE-2022-38028 в службе диспетчера очереди печати Windows (Windows Print Spooler), что может привести к запуску вредоносных файлов с привилегиями уровня SYSTEM mitre_attck_privilege_escalation: PT-CR-2500: SilverPotato_PrivEsc: Повышение привилегий с помощью техники SilverPotato. Эта техника позволяет пользователям, входящим в группу "Distributed COM Users" или "Performance Log Users", удаленно взаимодействовать с приложением в контексте интерактивного пользователя и спровоцировать аутентификацию, которая в дальнейшем ретранслируется на целевой узел mitre_attck_privilege_escalation: PT-CR-2490: Subrule_CVE_2022_38028_Creating_Artifacts: Копирование и изменение файла ограничений JavaScript (mpdw-constraints.js) и регистрация пользовательского обработчика протоколов с целью повысить привилегии mitre_attck_privilege_escalation: PT-CR-860: Subrule_Not_Self_Relay: Обнаружена попытка провести атаку NTLM relay mitre_attck_privilege_escalation: PT-CR-2241: Subrule_S4UTomato_IMarshal_Creation: Процесс с характерным для утилиты S4UTomato содержимым командной строки создал интерфейс IMarshal mitre_attck_privilege_escalation: PT-CR-466: Suspicious_Windows_Kernel_Creating: Создан файл с образом ядра операционных систем семейства Windows NT mitre_attck_privilege_escalation: PT-CR-852: Remote_Potato_Relay_Hash: NTLM-хеш пользователя, вошедшего в систему, перехвачен с помощью техники RemotePotato mitre_attck_privilege_escalation: PT-CR-2135: PetitPotato_PrivEsc: Использован инструмент PetitPotato для повышения привилегий mitre_attck_privilege_escalation: PT-CR-2063: CoercedPotato_PrivEsc: Попытка использовать технику CoercedPotato. Повышение привилегий с помощью техники CoercedPotato позволяет злоумышленникам с привилегией ImpersonatePrivilege повысить свои права до пользователя System. После этого злоумышленники могут извлечь из скомпрометированного узла учетные данные локальных пользователей, а в некоторых случаях и других пользователей, получавших доступ к данному узлу. Использование этих данных позволит злоумышленникам осуществить перемещение внутри периметра (lateral movement) на другие узлы инфраструктуры mitre_attck_privilege_escalation: PT-CR-855: Subrule_Action_After_Pipe_Connected: Привилегии повышены до администратора или System с помощью инструмента MultiPotato mitre_attck_privilege_escalation: PT-CR-1353: PrivEsc_Via_Comctl32: Эксплуатация логической ошибки при создании папки, для доступа к которой необходимы права администратора. Ошибка позволяет повысить уровень привилегий пользователя до SYSTEM при срабатывании определенного триггера mitre_attck_privilege_escalation: PT-CR-851: Remote_Potato_Capture_Hash: NTLM-хеш пользователя перехвачен с помощью техники RemotePotato mitre_attck_privilege_escalation: PT-CR-846: JuicyPotato_PrivEsc: Обнаруживает повышение привилегий до пользователя System с помощью техники JuicyPotato или JuicyPotatoNG. После этого злоумышленник может извлечь со компрометированного узла учетные данных к различным сервисам локальных пользователей, а в некоторых случаях и других пользователей, получавших доступ к данному узлу. Использование этих данных позволит злоумышленнику горизонтально переместиться (Lateral Movement) на другие узлы инфраструктуры. mitre_attck_privilege_escalation: PT-CR-465: Spoolsv_Priv_Escalation: Обнаружено подозрительное поведение встроенной утилиты Microsoft Windows "spoolsv" mitre_attck_privilege_escalation: PT-CR-2148: Subrule_HTTP_Request: Процесс отправил HTTP-запрос и получил ответ от системы mitre_attck_privilege_escalation: PT-CR-1212: PrintNotify_Potato: Привилегии служебной учетной записи повышены с помощью техники PrintNotifyPotato mitre_attck_privilege_escalation: PT-CR-2147: LocalPotato_PrivEsc: Повышение привилегий с помощью техники LocalPotato путем подмены контекста при локальной NTLM-аутентификации mitre_attck_privilege_escalation: PT-CR-847: MultiPotato_PrivEsc: Для повышения привилегий использован инструмент MultiPotato mitre_attck_privilege_escalation: PT-CR-2242: S4UTomato_PrivEsc: Привилегии сервисной учетной записи повышены до уровня SYSTEM с помощью инструмента S4UTomato mitre_attck_execution: PT-CR-1908: Execute_Over_WER_Service: Злоумышленники могут воспользоваться уязвимостью службы WER, которая позволяет подменить исполняемый файл и запустить файл злоумышленников с системными привилегиями active_directory_attacks: PT-CR-654: SAM_Account_Name_Spoofing: Пользователь переименовал объект AD или запросил TGT-билет от имени учетной записи, совпадающей с именем контроллера домена. Это может свидетельствовать об атаке sAMAccountName spoofing. Она может позволить злоумышленнику получить TGT-билет, например на имя контроллера домена, закрепиться в системе и повысить свои привилегии active_directory_attacks: PT-CR-2542: RemoteKrbRelay_Usage: Пользователь, не являющийся инициатором подключения, прошел аутентификацию Kerberos. Это может быть признаком использования утилиты RemoteKrbRelay, которая позволяет удаленно провоцировать и ретранслировать Kerberos-аутентификацию с целью получить доступ к какой-либо службе с уровнем привилегий целевой учетной записи, используя техники CertifiedDCOM и SilverPotato active_directory_attacks: PT-CR-838: ShadowCred_Used: Атрибут msds-keycredentiallink использован для авторизации учетной записи компьютера в домене без использования пароля. Это может быть признаком использования KrbRelayUp для локального повышения привилегий с помощью Shadow Credentials. Злоумышленник может использовать эту технику для получения учетных данных других пользователей и горизонтального перемещения на другие узлы инфраструктуры active_directory_attacks: PT-CR-837: KrbRelay_Usage: Возможное использование утилит KrbRelay или DavRelayUp, позволяющих использовать отсутствие подписи запросов LDAP для ретрансляции процесса аутентификации и получения TGS-билета для SPN учетной записи от имени администратора. После этого злоумышленник может повысить свои привилегии до локального администратора и выполнить вредоносный код на скомпрометированном узле active_directory_attacks: PT-CR-1203: Abuse_Kerberos_RC4: Возможная эксплуатация уязвимости CVE-2022-33679 в Kerberos. Эта уязвимость позволяет злоумышленникам провести сеанс от имени прошедшего аутентификацию пользователя и выполнить произвольный код на скомпрометированном узле. Таким способом злоумышленники могут получить учетные данные пользователей и горизонтально переместиться на другие узлы инфраструктуры active_directory_attacks: PT-CR-2298: Zerologon_Attack: Эксплуатация уязвимости CVE-2020-1472 (Zerologon), которая позволяет сменить пароль к учетной записи контроллера домена

Способы обнаружения

ID	DS0009	Источник и компонент данных	Процесс: Создание процесса	Описание	Отслеживайте запуск новых процессов, которые могут эксплуатировать уязвимости в ПО с целью повышения уровня привилегий. При первоначальном доступе к системе злоумышленники могут работать в процессе с низкими привилегиями, что не позволит им получить доступ к защищенной информации или выполнить задачи, требующие расширенных прав; поэтому после первоначального доступа они могут пытаться повысить уровень своих привилегий. Чаще всего они пытаются повысить уровень привилегий посредством внешнего вызова и эксплуатации исполняемых файлов spoolsv или conhost, которые являются легитимными приложениями Windows. Наш запрос ищет вызов пользователем любого из этих исполняемых файлов, позволяя выявлять потенциально вредоносную активность. Примечание. Указаны идентификаторы событий для Sysmon (1: создание процесса) и журнала безопасности Windows (4688: создание нового процесса). Аналитика отслеживает вызовы spoolsv.exe или conhost.exe пользователем, позволяя выявлять потенциально вредоносную активность. Чаще всего злоумышленники пытаются повысить уровень привилегий посредством внешнего вызова и эксплуатации этих исполняемых файлов, которые являются легитимными приложениями Windows. Аналитика 1. Нетипичный дочерний процесс spoolsv.exe или conhost.exe `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688") (Image="C:\Windows\System32\spoolsv.exe" OR Image="C:\Windows\System32\conhost.exe") AND ParentImage= "C:\Windows\System32\cmd.exe")`

ID	DS0027	Источник и компонент данных	Драйвер: Загрузка драйвера	Описание	Обнаружить эксплуатацию ПО бывает непросто — эффективность зависит от доступных вам инструментов. Эксплуатация ПО не всегда проходит успешно и может привести к нестабильности или сбою в работе эксплуатируемого процесса. Рекомендуется отслеживать активность на конечных устройствах, которая может указывать на компрометацию системы, например нетипичную активность браузера. Сюда же относится запись подозрительных файлов на диск, признаки внедрения кода в процессы для скрытия его выполнения или следы изучения среды. По возможности отслеживайте наличие или загрузку (например, события Sysmon с идентификатором 6) известных уязвимых драйверов, которые злоумышленники могут использовать для выполнения кода в режиме ядра. Дополнительные действия, включая некоторые методы получения дампа учетных данных, обычно требуют повышенных привилегий. Ищите признаки получения злоумышленником повышенных привилегий.

ID	Источник и компонент данных	Описание
DS0009	Процесс: Создание процесса	Отслеживайте запуск новых процессов, которые могут эксплуатировать уязвимости в ПО с целью повышения уровня привилегий. При первоначальном доступе к системе злоумышленники могут работать в процессе с низкими привилегиями, что не позволит им получить доступ к защищенной информации или выполнить задачи, требующие расширенных прав; поэтому после первоначального доступа они могут пытаться повысить уровень своих привилегий. Чаще всего они пытаются повысить уровень привилегий посредством внешнего вызова и эксплуатации исполняемых файлов spoolsv или conhost, которые являются легитимными приложениями Windows. Наш запрос ищет вызов пользователем любого из этих исполняемых файлов, позволяя выявлять потенциально вредоносную активность. Примечание. Указаны идентификаторы событий для Sysmon (1: создание процесса) и журнала безопасности Windows (4688: создание нового процесса). Аналитика отслеживает вызовы spoolsv.exe или conhost.exe пользователем, позволяя выявлять потенциально вредоносную активность. Чаще всего злоумышленники пытаются повысить уровень привилегий посредством внешнего вызова и эксплуатации этих исполняемых файлов, которые являются легитимными приложениями Windows. Аналитика 1. Нетипичный дочерний процесс spoolsv.exe или conhost.exe `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688") (Image="C:\Windows\System32\spoolsv.exe" OR Image="C:\Windows\System32\conhost.exe") AND ParentImage= "C:\Windows\System32\cmd.exe")`
DS0027	Драйвер: Загрузка драйвера	Обнаружить эксплуатацию ПО бывает непросто — эффективность зависит от доступных вам инструментов. Эксплуатация ПО не всегда проходит успешно и может привести к нестабильности или сбою в работе эксплуатируемого процесса. Рекомендуется отслеживать активность на конечных устройствах, которая может указывать на компрометацию системы, например нетипичную активность браузера. Сюда же относится запись подозрительных файлов на диск, признаки внедрения кода в процессы для скрытия его выполнения или следы изучения среды. По возможности отслеживайте наличие или загрузку (например, события Sysmon с идентификатором 6) известных уязвимых драйверов, которые злоумышленники могут использовать для выполнения кода в режиме ядра. Дополнительные действия, включая некоторые методы получения дампа учетных данных, обычно требуют повышенных привилегий. Ищите признаки получения злоумышленником повышенных привилегий.

Меры противодействия

ID	M1019	Название	Программа исследования угроз (киберразведка)	Описание	Разработайте надежную систему исследования киберугроз, чтобы выяснить, в угрозах каких типов и уровней могут использоваться эксплойты, включая эксплуатацию уязвимостей нулевого дня, против конкретной организации.

ID	M1038	Название	Защита от выполнения	Описание	По возможности блокируйте выполнение известных уязвимых драйверов, которые злоумышленники могут использовать для выполнения кода в режиме ядра. Проверьте правила блокировки драйверов в режиме аудита, чтобы убедиться в их стабильности перед развертыванием на производстве.

ID	M1048	Название	Изоляция и помещение в песочницу приложений	Описание	Используйте песочницы, чтобы затруднить злоумышленникам продвижение внутри систем или между системами за счет эксплуатации необнаруженных или неисправленных уязвимостей. Другие типы виртуализации и микросегментации приложений также могут предотвратить некоторые последствия эксплуатации на стороне клиента. Однако и в системах этих типов также могут быть уязвимые места и риски дополнительных эксплойтов .

ID	M1050	Название	Защита от эксплойтов	Описание	Средства безопасности, которые отслеживают использование эксплойтов, такие как Exploit Guard в Защитнике Windows и Enhanced Mitigation Experience Toolkit (EMET), могут защищать от некоторых видов вредоносной активности, связанной с эксплуатацией уязвимостей . Проверка целостности потока управления — еще один способ выявить и остановить программный эксплойт . Однако многие из этих средств защиты совместимы только с определенными архитектурами и бинарными файлами целевых приложений и могут не работать для программных компонентов, используемых для повышения привилегий.

ID	M1051	Название	Обновление ПО	Описание	Регулярно обновляйте программное обеспечение, используя управление исправлениями для внутренних корпоративных конечных точек и серверов.

ID	Название	Описание
M1019	Программа исследования угроз (киберразведка)	Разработайте надежную систему исследования киберугроз, чтобы выяснить, в угрозах каких типов и уровней могут использоваться эксплойты, включая эксплуатацию уязвимостей нулевого дня, против конкретной организации.
M1038	Защита от выполнения	По возможности блокируйте выполнение известных уязвимых драйверов, которые злоумышленники могут использовать для выполнения кода в режиме ядра. Проверьте правила блокировки драйверов в режиме аудита, чтобы убедиться в их стабильности перед развертыванием на производстве.
M1048	Изоляция и помещение в песочницу приложений	Используйте песочницы, чтобы затруднить злоумышленникам продвижение внутри систем или между системами за счет эксплуатации необнаруженных или неисправленных уязвимостей. Другие типы виртуализации и микросегментации приложений также могут предотвратить некоторые последствия эксплуатации на стороне клиента. Однако и в системах этих типов также могут быть уязвимые места и риски дополнительных эксплойтов .
M1050	Защита от эксплойтов	Средства безопасности, которые отслеживают использование эксплойтов, такие как Exploit Guard в Защитнике Windows и Enhanced Mitigation Experience Toolkit (EMET), могут защищать от некоторых видов вредоносной активности, связанной с эксплуатацией уязвимостей . Проверка целостности потока управления — еще один способ выявить и остановить программный эксплойт . Однако многие из этих средств защиты совместимы только с определенными архитектурами и бинарными файлами целевых приложений и могут не работать для программных компонентов, используемых для повышения привилегий.
M1051	Обновление ПО	Регулярно обновляйте программное обеспечение, используя управление исправлениями для внутренних корпоративных конечных точек и серверов.