De oppdager en trussel som bruker "forberedte" temaer i Windows for å stjele tilgangspassordene til datamaskinen vår

Å kunne endre utseendet på utstyret vårt er en av aspektene brukerne liker best. Å endre skrivebordsoppsettet er like enkelt som å laste ned og bruke et tema. Og faktisk, her har vi sett temaene og designene som for eksempel Microsoft har lansert med jevne mellomrom i applikasjonsbutikken sin.

"

Windows 10-temaer og -temapakker tilbyr et stort antall alternativer, og nesten alle er trygge, spesielt de som er utgitt av Microsoft.Og vi refererer til det nesten alle når vi snakker om sikkerhet, på grunn av oppdagelsen av en forsker som har funnet spesialdesignede temaer for å stjele passordene våre "

Pass-the-Hash-angrep

Themes lar endre nesten alle aspekter ved skrivebordet vårt Farger, bakgrunner, ikoner, markør... nesten alt kan endres av temaer som lastes ned eller som vi tilpasser selv. Temaer oppretter en konfigurasjon som er lagret i banen AppData%\Microsoft\Windows\Themes som en fil med filtypen .theme.

"

Resultatet, filen med filtypen .theme, kan deles med andre brukere, og det er her problemet oppdaget av forskeren @bohops på Twitter-kontoen hans. Temaer spesielt pakket for å utføre et Pass-the-Hash (PtH)-angrep på datamaskinene våre."

Enkle angrep å utføre og så mye at de hos Bleeping Computer har fulgt denne metoden og har klart å få tak i passordet uten ytterligere komplikasjoner.

En type angrep som søker å stjele legitimasjon for å få tilgang til andre systemkomponenter med sikte på å få total kontroll over det og tilgang til alle typer informasjon som vi lagrer og som sirkulerer gjennom operativsystemet.

Angriperen prøver å få tilgang til og få påloggingsinformasjonen på datamaskinen slik at han, når den er oppnådd, kan identifisere seg på andre datamaskiner som er koblet til nettverket. Det er snakk om å få tilgang til hashverdiene til passordet og på denne måten få tilgang til alle slags tjenester. I dette tilfellet er det ikke snakk om å få tilgang til passordet i ren tekst, men heller NTLM-hashen, som gjør angrepet lettere å gjennomføre.

I dette tilfellet endrer denne modifiserte .theme-filen innstillingene slik at temaet må søke etter en ressurs eller en ekstern fil som krever autentisering. På det tidspunktet når du prøver å få ekstern tilgang til filen, vil den automatisk prøve å logge på ved å sende NTLM-hashen og brukernavnet for Windows-kontoen.

I denne situasjonen er løsningen anbef alt av oppdageren av trusselen å ikke laste ned eller installere filer med disse utvidelsene, spesielt når de kommer fra upålitelige nettsteder. Et annet, mer ekstremt, tiltak innebærer å blokkere alle .theme, .themepack-filtypene. og .desktopthemepackfile, men på denne måten vil vi ikke kunne endre temaene på datamaskinen vår.

Via | Blødende datamaskin