El uso de recursos compartidos en Windows 95/98 reutiliza el desafío criptográfico empleado en el proceso de autentificación SMB. El volver a utilizar este sistema permite a un atacante, que haya capturado una sesión de autentificación legítima, repetir el proceso y establecer una conexión como si de un usuario válido se tratara.
Tras nuestra noticia de ayer en la que eran protagonistas los descubrimientos del grupo l0pht, debemos hacernos eco un día más de un nuevo descubrimiento de este grupo. Durante la fase de pruebas de la herramienta de captura de paquetes SMB incluida en L0phtCrack 2.5 se dieron cuenta que durante un periodo de unos 15 minutos tanto Windows 95 como 98 usan exactamente la misma cadena para cada autentificación.
Durante este periodo un atacante puede conectar con los recursos compartidos de red de un usuario cuyo proceso de autentificación haya sido capturado, y hacerse pasar por él. Aunque le no es posible averiguar la password del usuario, puede llevar a cabo el ataque simplemente copiando las cadenas de desafío y respuesta capturadas, que aunque encriptadas, le serán válidas durante esos 15 minutos aproximadamente en que el sistema tarda en cambiar el desafío.
La vulnerabilidad solo afecta a los sistemas Windows95/98 que actúan como servidores compartiendo recursos. En el documento de L0pth (http://www.l0pht.com/advisories/95replay.txt) se demuestra como es posible realizar el ataque desde un NT a un Windows 95. En realidad el Windows 95/98 al que se realiza el ataque aceptará cualquier cadena que cumpla el desafío, de manera independiente del sistema operativo que se esté utilizando. Esta vulnerabilidad no afecta directamente a NT, aunque sea posible hacerse pasar por un usuario de NT frente a un Windows 95/98 el problema radica en éste último.
Una vez realizada la conexión el atacante tendrá acceso a los recursos compartidos, con todo lo que esto conlleva. Desde lectura y escritura directa de ficheros sensibles utilizando esta técnica ó la introducción de troyanos, hasta la construcción de un virus/gusano que utilizara esta vulnerabilidad durante su infección para pasar de una máquina a otra.
Deja una respuesta