資安公司警告研究員Chaotic Eclipse公布的零時差漏洞已能串成攻擊鏈

資安公司LevelBlue指出，Chaotic Eclipse揭露的5個漏洞，涵蓋取得初始存取管道、權限提升、迴避偵測，以及資料竊取等攻擊階段，幾乎已可視為一套完整的攻擊工具。其中，BlueHammer與RedSun提供兩條從標準使用者帳戶取得SYSTEM權限的途徑，UnDefend可癱瘓企業Windows環境部署最廣泛的端點防護機制，YellowKey能繞過最常用的靜態資料加密控制，GreenPlasma則提供另一種權限提升的途徑，雖然Chaotic Eclipse公布的概念驗證程式碼並不完整，但LevelBlue認為，任何具備Windows核心知識的人，皆能利用它們成功提升權限。

這些漏洞的概念驗證程式碼都具備共通點，都是直接利用Windows系統本身的合法元件，但不會破壞作業系統。具體來說，這些程式碼會找出受信任元件，然後將攻擊者控制的資料存放在受信任元件未預期的位置。因此，在利用漏洞的過程，不會造成記憶體損壞，也不會繞過硬體安全機制。

LevelBlue提及兩種攻擊場景，其中一種是先透過網路接觸受害者，然後嘗試利用BlueHammer、RedSun、GreenPlasma提升權限，並透過UnDefend擾亂Microsoft Defender運作，以便後續竊取憑證並進行橫向移動；另一種場景是假設攻擊者能實際接觸受害電腦，他們就能利用USB裝置觸發YellowKey，利用Shell權限存取電腦所有資料，若是需要進一步提升權限建立網路連線，或是截取記憶體內的憑證資料，攻擊者可利用RedSun或GreenPlasma將權限提升至SYSTEM，然後再搭配UnDefend，就能讓資料外洩或隧道通訊無聲無息地進行。