Un recente studio condotto dal team di Offensive Security di Workday ha evidenziato una vulnerabilità nei driver di Windows che consente di bypassare efficacemente gli strumenti di Endpoint Detection and Response (EDR).

Questa tecnica sfrutta la lettura diretta del disco, eludendo controlli di accesso, blocchi di file e misure di sicurezza come Virtualization-Based Security (VBS) e Credential Guard. Il driver vulnerabile identificato, eudskacs.sys, espone strutture di codice semplici che permettono la lettura diretta del disco fisico, consentendo l’accesso a file sensibili senza interagire direttamente con essi.
Percorso che una richiesta di lettura del disco segue quando viene richiamata dallo spazio utente
Tradizionalmente, Windows implementa diverse difese per proteggere i dati sensibili. Ad esempio, i file di credenziali come SAM.hive e SYSTEM.hive sono protetti da Access Control Lists (ACL) e da blocchi esclusivi che impediscono l’accesso simultaneo da parte di più processi.

Inoltre, VBS e Credential Guard isolano il processo LSASS in un contenitore virtualizzato, rendendo più difficile l’estrazione delle credenziali dalla memoria. Tuttavia, l’accesso diretto al disco elude questi controlli, poiché non richiede l’uso delle API standard per l’accesso ai file e non genera log di sistema.

Per eseguire un attacco di lettura diretta del disco, un attore malintenzionato può sfruttare un driver vulnerabile o utilizzare driver di basso livello come disk.sys. Il processo coinvolge l’apertura di un handle al driver del disco fisico, l’invio di richieste di lettura e la ricezione dei dati grezzi. Una volta ottenuti i dati, è necessario un parser del file system NTFS per estrarre i file desiderati. Questa tecnica è particolarmente efficace per l’estrazione di file sensibili, poiché non interagisce direttamente con i file stessi e quindi non attiva i controlli di sicurezza.

Una delle principali sfide, riportano i ricercatori, è implementare questa tecnica è la necessità di comprendere la struttura del file system NTFS. Elementi come il Master Boot Record (MBR), la GUID Partition Table (GPT) e il Volume Boot Record (VBR) i quali contengono informazioni cruciali sulla disposizione dei dati sul disco. L’accesso diretto al disco consente di bypassare i controlli di accesso e di leggere questi dati senza restrizioni, facilitando l’estrazione di informazioni sensibili.

Per contrastare questa minaccia, è fondamentale adottare misure di sicurezza preventive. Limitare i privilegi amministrativi è una delle strategie più efficaci, poiché riduce la possibilità per un attaccante di installare driver dannosi o di accedere direttamente al disco fisico. Inoltre, monitorare le chiamate API come CreateFile, in particolare quando interagiscono con driver di basso livello, può aiutare a rilevare attività sospette. L’implementazione di queste misure può contribuire a ridurre il rischio associato a questa vulnerabilità.

In sintesi, l’accesso diretto al disco rappresenta una tecnica potente per eludere gli strumenti di sicurezza tradizionali. Comprendere le vulnerabilità nei driver di Windows e adottare misure di sicurezza appropriate sono passi essenziali per proteggere i sistemi da attacchi sofisticati. Le organizzazioni dovrebbero rivedere regolarmente i driver in uso e implementare controlli di sicurezza per mitigare i rischi associati a questa minaccia.

L'articolo Il Lato Oscuro dei Driver Windows: Come Rubare Dati Ignorando l’EDR proviene da il blog della sicurezza informatica.

L’appaltatore americano Sierra Nevada Corporation (SNC) ha avviato i test di volo del nuovo E-4C Survivable Airborne Operations Center dell’Aeronautica Militare statunitense. Questa versione aggiornata è destinata a sostituire il vecchio E-4B Nightwatch, che dagli anni ’70 è stato l’aereo apocalittico statunitense.

L’E-4C ha volato per la prima volta il 7 agosto 2025, come annunciato dall’azienda il 3 settembre. I test fanno parte del programma Survivable Airborne Operations Center (SAOC). SNC si è aggiudicata il contratto da 13 miliardi di dollari nel 2024, dopo che Boeing, il produttore della generazione precedente, si era ritirato dalla competizione a causa di disaccordi con l’Aeronautica Militare.

Il nuovo aereo è basato sul Boeing 747-8, una versione allungata e modernizzata del classico aereo di linea. L’Aeronautica Militare ha già acquistato quattro di questi velivoli per la conversione, e SNC ha acquisito altri cinque 747-8 usati da Korean Air nel 2024 per garantire un inventario sufficiente per la conversione e la futura manutenzione. I motori GE Aerospace GEnx-2B sono in fase di profonda revisione per migliorarne l’affidabilità e l’efficienza.

La flotta di E-4B, basata sul Boeing 747-200, è in servizio da oltre 51 anni. Nonostante i numerosi miglioramenti, questi velivoli sono notevolmente inferiori alle soluzioni moderne. Pertanto, il passaggio all’E-4C è visto come un passo fondamentale per mantenere il controllo garantito in caso di conflitto nucleare o di un attacco su larga scala agli Stati Uniti.

La missione del nuovo velivolo rimane la stessa: garantire la continuità del comando statale e militare in caso di distruzione dei centri di terra. Dall’E-4C, i vertici aziendali saranno in grado di impartire ordini per l’uso di armi nucleari, coordinare le operazioni militari e mantenere le comunicazioni con la rete globale delle forze strategiche.

Il programma di test durerà fino al 2026 e include voli e prove al banco presso i siti di Dayton, Ohio, e Wichita, Kansas. L’obiettivo è ridurre i rischi ingegneristici, convalidare le modifiche e stabilire uno standard tecnico per gli aeromobili di produzione. La consegna dell’intera flotta è prevista per il 2036 e si prevede che il numero di nuovi velivoli sarà approssimativamente lo stesso della flotta attuale: quattro.

Sebbene i dettagli non siano stati resi noti, l’E-4C sarà dotato di una protezione EMP migliorata, sistemi di comunicazione più potenti , collegamenti satellitari e sistemi di elaborazione dati sicuri. La piattaforma 747-8 offrirà maggiore autonomia e capacità di carico utile, consentendo di trasportare più personale, equipaggiamenti e apparecchiature di comunicazione rispetto al suo predecessore.

Il nuovo velivolo farà parte del sistema di Comando, Controllo e Comunicazioni Nucleari (NC3) potenziato, che il Pentagono definisce il “sistema nervoso” delle forze strategiche. Include satelliti, sottomarini, bombardieri, centri di terra e posti di comando aviotrasportati. Con Russia e Cina che stanno rafforzando le loro capacità nucleari, l’aggiornamento dell’NC3 è considerato fondamentale per mantenere la deterrenza.

Il programma E-4C è il più grande progetto di difesa nella storia della Sierra Nevada Corporation, precedentemente nota principalmente per lo spazio, laguerra elettronica e la modernizzazione dell’aviazione. La nuova flotta di aerei apocalittici è progettata per essere operativa almeno fino alla metà del XXI secolo, preservando la capacità degli Stati Uniti di controllare il proprio arsenale nucleare strategico in qualsiasi circostanza, una missione che risale alla Guerra Fredda.

L'articolo L’Aeronautica Militare Statunitense Lancia il Nuovo Aereo Apocalittico E-4C proviene da il blog della sicurezza informatica.