Schlagwort-Archive: PrintNightmare

Erkennen von PrintNightmare Exploit-Versuchen

Originalbeitrag von Nitesh Surana, Threat Research Engineer

PrintNightmare ist eines der jüngsten Exploit-Sets, das die Print Spooler-Sicherheitslücken (CVE-2021-1675CVE-2021-34527 und CVE-2021-34481) ausnutzt. Es handelt sich um eine Sicherheitslücke bei der Codeausführung (sowohl remote als auch lokal) im Print Spooler-Dienst, die alle Windows-Versionen betrifft, auf denen der besagte Dienst läuft. Eine Reihe von Forschern hat Proof of Concepts für mehrere Exploit-Varianten entwickelt, die auf unterschiedlichen Implementierungen (über TCP und Server Message Block oder SMB) basieren. Durch die Verwendung verschiedener Funktionsaufrufe für das Print System Asynchronous Remote Protocol (MS-PAR) und die missbräuchliche Verwendung von RpcAsyncAddPrinterDriver kann PrintNightmare auf Servern und Workstations ausgenutzt werden, während PrintNightmare durch die missbräuchliche Verwendung des Print System Remote Protocoll (MS-RPRN) RpcAddPrinterDriverEx für eine Impacket-Implementierung nutzen kann.

Wir haben die Implementierungen von PrintNightmare untersucht und zeigen, wie die von Trend Micro Vision One™ und Trend Micro Cloud One™ ermöglichte Transparenz, die Risiken mindern kann, die durch kritische Lücken in Systemen wie dem Print Spooler Service entstehen. Mithilfe der Indikatoren und Attribute von Angriffsversuchen, die von Netzwerken und Endpunkten geloggt werden, ermöglichen beide Plattformen Sicherheitsteams und Analysten einen umfassenderen Blick auf Angriffsversuche, um sofortige und umsetzbare Reaktionen zu ermöglichen.
Weiterlesen