Escalada de privilegios

Escalada vertical de privilegios

Esto ocurre cuando un atacante con derechos de acceso limitados, como un usuario normal, explota vulnerabilidades para obtener privilegios de nivel superior, como acceso administrativo o de raíz. Esta es la forma más común de escalada de privilegios y puede conllevar importantes riesgos de seguridad.

‍

‍

Escalada horizontal de privilegios

‍Eneste caso, un atacante se mueve lateralmente dentro de un sistema, obteniendo acceso a recursos o cuentas de otros usuarios que tienen derechos de acceso similares. Aunque la escalada horizontal no implica escalar a privilegios superiores, permite a los atacantes explotar otras cuentas o datos.

‍

‍

¿Cómo proceden los atacantes para escalar privilegios?

1. Adquisición de acceso inicial

Los atacantes comienzan entrando en un sistema con privilegios de usuario básicos. Lo consiguen a través de métodos como phishing, donde las comunicaciones engañosas engañan a los usuarios para que revelen sus credenciales; explotando vulnerabilidades en software o sistemas que no se han protegido adecuadamente; o utilizando credenciales por defecto que nunca se cambiaron tras la instalación. El objetivo principal en esta fase es establecer un punto de apoyo dentro del sistema, creando una plataforma desde la que puedan lanzar nuevos ataques.

2. Enumeración y reconocimiento del sistema

Una vez dentro del sistema, los atacantes se dedican a enumerar y reconocer el sistema para recopilar información detallada sobre el entorno. Recopilan datos sobre la arquitectura del sistema, las versiones del sistema operativo, las aplicaciones instaladas, los servicios en ejecución y las cuentas de usuario existentes. Esta recopilación de información se ve facilitada por herramientas como utilidades de línea de comandos, scripts del sistema y herramientas de escaneado de red, que ayudan a trazar la estructura del sistema e identificar posibles objetivos de explotación.

3. Identificación de vulnerabilidades

Con un conocimiento exhaustivo del sistema, los atacantes proceden a identificar vulnerabilidades que puedan ser explotadas para escalar sus privilegios. Buscan vulnerabilidades de software, como errores sin parchear o fallos que tengan exploits conocidos. También buscan puntos débiles en la configuración, como servicios mal configurados, permisos de archivo inseguros que permitan el acceso no autorizado o ajustes predeterminados que no se hayan protegido adecuadamente. Además, evalúan los problemas de credenciales, como contraseñas débiles que son fáciles de adivinar o descifrar, credenciales reutilizadas en varios sistemas o testigos de autenticación expuestos que pueden ser interceptados.

4. Técnicas de explotación

To take advantage of the identified vulnerabilities, attackers employ various exploitation techniques. When exploiting software vulnerabilities, they may perform buffer overflows by injecting code into a program through overrunning a buffer's boundary, or conduct code injection by inserting malicious code into trusted applications. Abusing misconfigurations is another tactic; attackers might exploit insecure file permissions to access or modify files due to improper permission settings, or leverage SUID/SGID abuse on Unix/Linux systems by exploiting files that execute with higher privileges.

Credential theft is a critical method used to gain unauthorized access. Attackers might engage in password hash dumping, extracting password hashes from system memory or files to crack them offline. Keylogging is another technique, where they record keystrokes to capture passwords and other sensitive information. To bypass security controls, attackers may manipulate tokens, using stolen tokens to impersonate higher-privileged users. On Windows systems, they might perform DLL hijacking by replacing legitimate Dynamic Link Library (DLL) files with malicious ones to execute code with elevated privileges. Exploiting weaknesses in User Account Control (UAC) allows them to perform administrative tasks without prompting the user, effectively bypassing a key security feature.

5. Obtención de privilegios elevados

Armed with these techniques, attackers aim to gain elevated privileges within the system. They execute exploits by running specialized scripts or tools designed to take advantage of the identified vulnerabilities. Deploying privilege escalation payloads involves introducing malware specifically crafted to escalate privileges upon execution. Service exploitation is another avenue, where attackers target services that are running with higher privileges, manipulating them to execute arbitrary code that grants them increased access rights.

6. Actividades posteriores a la explotación

Después de escalar con éxito sus privilegios, los atacantes se involucran en actividades de post-explotación para solidificar su control y prepararse para nuevas operaciones. Para mantener el acceso, pueden crear puertas traseras instalando métodos persistentes que les permitan volver a entrar en el sistema incluso después de reinicios o actualizaciones de seguridad. Añadir nuevas cuentas de usuario con privilegios administrativos les garantiza un acceso continuo sin depender del exploit inicial.

Covering their tracks is essential to avoid detection. Attackers manipulate logs by deleting or altering event records to hide evidence of their activities. They may also modify file timestamps to prevent forensic analysts from identifying anomalies during investigations. With elevated privileges, attackers can perform lateral movement within the network. Network propagation involves using their access to infiltrate other systems connected to the network, expanding their reach and potential impact. They leverage obtained credentials to infiltrate additional resources, a process known as credential reuse, which allows them to compromise more accounts and systems without triggering immediate suspicion.

‍