Élévation de privilèges

L'escalade verticale des privilèges

Cela se produit lorsqu'un attaquant disposant de droits d'accès limités, comme un utilisateur normal, exploite des vulnérabilités pour obtenir des privilèges de niveau supérieur, comme un accès administratif ou un accès racine. Il s'agit de la forme la plus courante d'escalade des privilèges, qui peut entraîner des risques importants pour la sécurité.

‍

‍

L'escalade horizontale des privilèges

‍Dansce cas, un attaquant se déplace latéralement dans un système, obtenant l'accès aux ressources ou aux comptes d'autres utilisateurs qui ont des droits d'accès similaires. Bien que l'escalade horizontale n'implique pas l'obtention de privilèges plus élevés, elle permet aux attaquants d'exploiter d'autres comptes ou données.

‍

‍

Comment les attaquants procèdent-ils à l'escalade des privilèges ?

1. Acquisition de l'accès initial

Les attaquants commencent par s'introduire dans un système avec des privilèges d'utilisateur de base. Ils y parviennent par des méthodes telles que phishing, où des communications trompeuses incitent les utilisateurs à révéler leurs informations d'identification, en exploitant les vulnérabilités des logiciels ou des systèmes qui n'ont pas été correctement sécurisés, ou en utilisant des informations d'identification par défaut qui n'ont jamais été modifiées après l'installation. L'objectif principal à ce stade est d'établir un pied dans le système, en créant une plateforme à partir de laquelle ils peuvent lancer d'autres attaques.

2. Recensement et reconnaissance des systèmes

Une fois à l'intérieur du système, les attaquants procèdent à l'énumération et à la reconnaissance du système afin de recueillir des informations détaillées sur l'environnement. Ils recueillent des données sur l'architecture du système, les versions du système d'exploitation, les applications installées, les services en cours d'exécution et les comptes d'utilisateurs existants. Cette collecte d'informations est facilitée par des outils tels que des utilitaires de ligne de commande, des scripts système et des outils d'analyse du réseau, qui permettent de cartographier la structure du système et d'identifier les cibles potentielles à exploiter.

3. Identification des vulnérabilités

Après avoir acquis une connaissance approfondie du système, les attaquants procèdent à l'identification des vulnérabilités qui peuvent être exploitées pour élever leurs privilèges. Ils recherchent des vulnérabilités logicielles, telles que des bogues non corrigés ou des failles dont l'exploitation est connue. Les faiblesses de configuration sont également recherchées, notamment les services mal configurés, les autorisations de fichiers non sécurisées qui permettent un accès non autorisé, ou les paramètres par défaut qui n'ont pas été correctement sécurisés. En outre, ils évaluent les problèmes liés aux informations d'identification, tels que les mots de passe faibles faciles à deviner ou à craquer, les informations d'identification réutilisées sur plusieurs systèmes ou les jetons d'authentification exposés qui peuvent être interceptés.

4. Techniques d'exploitation

To take advantage of the identified vulnerabilities, attackers employ various exploitation techniques. When exploiting software vulnerabilities, they may perform buffer overflows by injecting code into a program through overrunning a buffer's boundary, or conduct code injection by inserting malicious code into trusted applications. Abusing misconfigurations is another tactic; attackers might exploit insecure file permissions to access or modify files due to improper permission settings, or leverage SUID/SGID abuse on Unix/Linux systems by exploiting files that execute with higher privileges.

Credential theft is a critical method used to gain unauthorized access. Attackers might engage in password hash dumping, extracting password hashes from system memory or files to crack them offline. Keylogging is another technique, where they record keystrokes to capture passwords and other sensitive information. To bypass security controls, attackers may manipulate tokens, using stolen tokens to impersonate higher-privileged users. On Windows systems, they might perform DLL hijacking by replacing legitimate Dynamic Link Library (DLL) files with malicious ones to execute code with elevated privileges. Exploiting weaknesses in User Account Control (UAC) allows them to perform administrative tasks without prompting the user, effectively bypassing a key security feature.

5. Obtention de privilèges élevés

Armed with these techniques, attackers aim to gain elevated privileges within the system. They execute exploits by running specialized scripts or tools designed to take advantage of the identified vulnerabilities. Deploying privilege escalation payloads involves introducing malware specifically crafted to escalate privileges upon execution. Service exploitation is another avenue, where attackers target services that are running with higher privileges, manipulating them to execute arbitrary code that grants them increased access rights.

6. Activités post-exploitation

Après avoir réussi à élever leurs privilèges, les attaquants se livrent à des activités de post-exploitation pour consolider leur contrôle et se préparer à d'autres opérations. Pour conserver l'accès, ils peuvent créer des portes dérobées en installant des méthodes persistantes qui leur permettent de pénétrer à nouveau dans le système, même après un redémarrage ou une mise à jour de sécurité. L'ajout de nouveaux comptes d'utilisateurs dotés de privilèges administratifs leur assure un accès permanent sans dépendre de l'exploit initial.

Covering their tracks is essential to avoid detection. Attackers manipulate logs by deleting or altering event records to hide evidence of their activities. They may also modify file timestamps to prevent forensic analysts from identifying anomalies during investigations. With elevated privileges, attackers can perform lateral movement within the network. Network propagation involves using their access to infiltrate other systems connected to the network, expanding their reach and potential impact. They leverage obtained credentials to infiltrate additional resources, a process known as credential reuse, which allows them to compromise more accounts and systems without triggering immediate suspicion.

‍