Durante la conferenza DEF CON33 incentrata sulla sicurezza, un team di specialisti del settore, Yair e Shahak Morag, provenienti da SafeBreach Labs, hanno illustrato una categoria innovativa di attacchi di tipo denial-of-service (DoS), a cui hanno dato il nome di \”Win-DoS Epidemic\”. La ricerca dimostra come gli aggressori possano bloccare qualsiasi endpoint o server Windows, compresi i controller di dominio (DC) critici, e persino utilizzare i DC pubblici come armi per creare una botnet DDoS di grandi dimensioni.

Le loro scoperte, che comprendono quattro vulnerabilità DoS di Windows a una falla Distributed Denial-of-Service (DDoS) attivabile senza clic, sono state presentate dai due ricercatori. I difetti scoperti, tutti classificati come “consumo incontrollato di risorse”, includono:

• CVE-2025-26673 (CVSS 7.5): una vulnerabilità DoS di elevata gravità in Windows LDAP.
• CVE-2025-32724 (CVSS 7.5): una vulnerabilità DoS di elevata gravità in Windows LSASS.
• CVE-2025-49716 (CVSS 7.5): una vulnerabilità DoS di gravità elevata in Windows Netlogon.
• CVE-2025-49722 (CVSS 5.7): una vulnerabilità DoS di media gravità nello spooler di stampa di Windows, che richiede un aggressore autenticato su una rete adiacente.

Un attacco DoS riuscito contro un DC può paralizzare un’intera organizzazione, rendendo impossibile agli utenti effettuare l’accesso, accedere alle risorse o eseguire le operazioni quotidiane. “Presentiamo “Win-DoS Epidemic”: strumenti DoS che sfruttano quattro nuove vulnerabilità zero-click Win-DoS e una Win-DDoS! Bloccano qualsiasi endpoint/server Windows, inclusi i DC, o lanciano una botnet utilizzando DC pubblici per attacchi DDoS. L’epidemia è iniziata”, hanno affermato i ricercatori.

I controller di dominio costituiscono la spina dorsale della maggior parte delle reti aziendali, gestendo l’autenticazione e centralizzando la gestione degli utenti e delle risorse. Il lavoro dei ricercatori si basa sulla loro precedente scoperta, la vulnerabilità LdapNightmare (CVE-2024-49113), che è stata il primo exploit DoS pubblico per un controller di dominio Windows. Le nuove scoperte ampliano significativamente questa minaccia, andando oltre il solo LDAP per abusare di altri servizi Windows principali.

youtube.com/embed/Itqhjh-5XmY?…

Questo comportamento consente a un aggressore di sfruttare l’immensa potenza di decine di migliaia di DC pubblici in tutto il mondo, trasformandoli in una botnet DDoS enorme, gratuita e non rintracciabile. L’attacco non richiede infrastrutture speciali e non lascia tracce forensi, poiché l’attività dannosa ha origine dai DC compromessi e non dal computer dell’aggressore.

La scoperta più allarmante è la nuova tecnica DDoS, che i ricercatori hanno chiamato Win-DDoS. Questo attacco sfrutta una falla nel processo di referral del client LDAP di Windows. In un’operazione normale, un referral LDAP indirizza un client a un server diverso per soddisfare una richiesta. Yair e Morag hanno scoperto che, manipolando questo processo, potevano reindirizzare i DC a un server vittima e, cosa fondamentale, hanno trovato un modo per far sì che i DC ripetessero incessantemente questo reindirizzamento.

Questa tecnica rappresenta un cambiamento significativo negli attacchi DDoS, poiché consente attacchi ad alta larghezza di banda e ad alto volume senza i costi o i rischi tipici associati alla configurazione e alla manutenzione di una botnet.

L'articolo Win-DoS Epidemic: I nuovi attacchi DoS e DDoS partono da Microsoft Windows proviene da il blog della sicurezza informatica.