לפי הדיווחים, ניתן להשתמש בערכות נושא מותאמות אישית כדי לגנוב אישורי משתמש של Windows 10

כפי שאתה אולי כבר יודע, Windows מאפשר שיתוף ערכות נושא בהגדרות. ניתן לעשות זאת על ידי פתיחת הגדרות > התאמה אישית > ערכות נושא ולאחר מכן על ידי בחירה ב"שמור עיצוב לשיתוף" מהתפריט. זה יצור * חדשקובץ ‎.deskthemepack שהמשתמש יכול להעלות לאינטרנט, לשלוח באמצעות דואר אלקטרוני, או יכול לשתף עם אחרים במגוון שיטות. משתמשים אחרים יכולים להוריד קבצים כאלה ולהתקין אותם בלחיצה אחת.

תוקף יכול ליצור באופן דומה קובץ '.theme' שבו הגדרת הטפט המוגדרת כברירת מחדל מצביעה על אתר שדורש אימות. כאשר משתמשים תמימים מכניסים את האישורים שלהם, גיבוב NTLM של הפרטים נשלח לאתר לצורך אימות. סיסמאות לא מורכבות נפצחות לאחר מכן באמצעות תוכנת דה-האשינג מיוחדת.

[טריק של קצירת אישורים] באמצעות קובץ ‎.theme של Windows, ניתן להגדיר את מקש הטפט כך שיצביע על משאב http/s הדרוש אישור מרחוק. כאשר משתמש מפעיל את קובץ ערכת הנושא (למשל, נפתח מקישור/קובץ מצורף), הנחיה של Windows Cred מוצגת למשתמש.

מה הם קבצי *.theme?

מבחינה טכנית, קבצי *.theme הם קבצי *.ini הכוללים מספר סעיפים ש-Windows קורא ומשנה את המראה של מערכת ההפעלה בהתאם להוראות שהוא מצא. קובץ הנושא מציין את צבע המבטא, טפטים ליישום ועוד כמה אפשרויות.

אחד הסעיפים שלו נראה כדלקמן.

[לוח בקרה\שולחן עבודה]Wallpaper=%WinDir%\web\wallpaper\Windows\img0.jpg

מפתח הטפט ממוקם מתחת לקטע "לוח בקרה\שולחן עבודה" של קובץ ה-.theme. ייתכן שמשתמשים במפתחות אחרים באותו אופן, וזה עשוי לעבוד גם עבור חשיפת hash של netNTLM כשהם מוגדרים עבור מיקומי קבצים מרוחקים, אומר ג'ימי ביין.

החוקר מספק שיטה למתן את הבעיה.

מנקודת מבט הגנתית, חסום/שייך מחדש/חפש אחר הרחבות "theme", "themepack", "desktopthemepackfile". בדפדפנים, יש להציג למשתמשים צ'ק לפני הפתיחה. פגיעות CVE אחרות נחשפו בשנים האחרונות, אז כדאי להתייחס ולהקל עליהן

מָקוֹר: ניוווין