[Fonte única] Vendedor alega cadeia de zero-days contra ELAM do Windows à venda

O vendedor alega que a cadeia permite contornar restrições de segurança do kernel na fase de boot e, potencialmente, obter execução de código em Ring 0, o nível mais privilegiado da arquitetura x86/x64.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

O preço pedido é de US$ 5.000 pelo conjunto dos dois exploits que compõem a cadeia, segundo o próprio anúncio.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

De acordo com o vendedor, o pacote teria duas partes: a primeira, um 'ELAM Kill Switch' que desativaria ou contornaria completamente o mecanismo; a segunda, um exploit de classificação de drivers que faria o sistema aceitar um driver potencialmente malicioso como legítimo.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

O ELAM é o mecanismo do Windows responsável pela verificação antecipada de drivers durante o boot do sistema operacional; no anúncio, o vendedor cita especificamente Microsoft Defender, Sophos e Avast como produtos que utilizam o recurso.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

Segundo o texto da oferta, a cadeia explorada com sucesso permitiria interferir no processo de verificação de drivers no início do boot, criando condições para execução encoberta de código malicioso em nível de kernel e dificultando a detecção por ferramentas de segurança.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

Se as alegações forem verdadeiras, produtos antimalware de grandes fornecedores teriam uma camada de proteção fundamental enfraquecida na fase mais crítica da inicialização: por isso, mesmo sem verificação, a oferta merece atenção defensiva.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

Trate a oferta como não verificada: acompanhe comunicados da Microsoft e dos fornecedores citados (Microsoft Defender, Sophos e Avast) sobre possíveis vulnerabilidades no ELAM ou nos mecanismos de classificação de drivers.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

Alegado: que os dois exploits funcionam de fato, que desativam o ELAM e que permitem execução de código em Ring 0: todas essas afirmações são atribuídas unicamente ao vendedor, sem teste independente.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

O vendedor descreve os dois itens à venda como exploits 0-day 'alegadamente funcionais': reconhecimento explícito, no próprio texto, de que se trata de alegação não comprovada: e menciona Microsoft Defender, Sophos e Avast como alvos cuja proteção depende do ELAM.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

1 grupos independentes, 1 atualizações e 0 interações.[2]dbu.gsdbu.gs · rssAbrir fonte originalVer na lista de fontes[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

ELAM (Early Launch Anti-Malware) é o mecanismo do Windows que verifica drivers logo no início do boot do sistema operacional, antes que outros componentes sejam carregados.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

Parte 1: 'ELAM Kill Switch': o vendedor alega desativação ou bypass completo do mecanismo ELAM.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

Parte 2: 'Driver Classification Exploit': o vendedor alega manipulação da classificação de drivers, de modo que o sistema aceite um driver potencialmente malicioso como legítimo.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

Combinadas, as duas partes supostamente contornariam as restrições de segurança do kernel durante a fase de boot do Windows e potencialmente alcançariam execução de código em Ring 0: o nível mais privilegiado de execução na arquitetura de processadores x86/x64.[1]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes