Architettura di Windows

La maggior parte degli ambienti aziendali utilizza Windows. Capire come funziona internamente, tra processi, servizi e confini dei privilegi, è essenziale per attaccarlo e difenderlo.

Questa lezione illustra l'architettura di base su cui ragionerà durante un incarico.

Windows divide l'esecuzione in due ring:

• modalità utente: qui vengono eseguite le applicazioni, con accesso limitato;
• modalità kernel: qui vengono eseguiti il nucleo del sistema operativo e i driver, con accesso completo all'hardware.

Gli exploit che raggiungono la modalità kernel, ad esempio tramite un driver vulnerabile, garantiscono il controllo totale.

Un processo è un programma in esecuzione con una propria memoria; un thread è un'unità di esecuzione al suo interno. Ogni processo ha un PID univoco.

Elencare i processi dal prompt dei comandi o da PowerShell.

Alcuni processi sono sempre in esecuzione; la presenza di impostori in questo elenco indica un malware:

• System (PID 4): thread del kernel;
• smss.exe: gestore delle sessioni;
• csrss.exe: runtime client/server;
• lsass.exe: contiene le credenziali ed è un obiettivo privilegiato per gli attaccanti;
• winlogon.exe, services.exe.

lsass.exe (Local Security Authority Subsystem) gestisce l'autenticazione e memorizza nella cache il materiale relativo alle credenziali.

Strumenti come Mimikatz eseguono il dump di lsass per sottrarre gli hash delle password e i ticket Kerberos: si tratta di uno degli attacchi più importanti da comprendere.

Un servizio è un programma in background gestito dal Service Control Manager, spesso eseguito con privilegi elevati all'avvio.

I servizi configurati in modo errato (autorizzazioni deboli, percorsi non racchiusi tra virgolette) sono classici vettori di escalation dei privilegi.

Le applicazioni comunicano con il sistema operativo tramite la Windows API esposta da DLL come kernel32.dll e ntdll.dll.

I malware e gli strumenti offensivi chiamano direttamente queste API (CreateProcess, VirtualAlloc, WriteProcessMemory) per iniettare codice ed eludere il rilevamento.

Ogni processo contiene un token di accesso che descrive l'utente, i gruppi e i privilegi associati. Windows verifica il token per ogni operazione protetta.

Gli attaccanti sottraggono o impersonano i token per agire come utenti con privilegi più elevati: è alla base di molte tecniche di escalation dei privilegi.

Windows assegna livelli di integrità (Low, Medium, High, System). User Account Control (UAC) esegue gli amministratori a livello Medium finché non elevano i propri privilegi.

Gli aggiramenti dell'UAC sono un passaggio comune per passare dall'integrità Medium a quella High senza visualizzare una richiesta.

I programmi caricano codice condiviso dalle DLL. Windows cerca le DLL in directory specifiche e secondo un ordine preciso.

Se una directory scrivibile viene esaminata per prima, un attaccante può inserirvi una DLL malevola: si tratta del dirottamento delle DLL / abuso dell'ordine di ricerca.

La suite Sysinternals di Microsoft è preziosa sia per i difensori sia per gli attaccanti:

• Process Explorer: albero dei processi e handle dettagliati;
• Process Monitor: eventi in tempo reale relativi a file, registro e processi;
• Autoruns: ogni posizione di avvio automatico, ideale per individuare la persistenza.

Ricordi il processo che contiene le credenziali.

Ha mappato l'architettura di Windows:

• modalità utente e modalità kernel: raggiungere il kernel significa ottenere il controllo completo;
• i processi principali, in particolare lsass.exe per le credenziali;
• servizi, token di accesso, livelli di integrità e UAC;
• l'abuso dell'ordine di ricerca delle DLL e l'uso di Sysinternals per l'ispezione.

Prossimo argomento: il Registro di sistema di Windows.