CVE-2026-85884: WPAD LPAC та WHESVC Ескалація Привілеїв

Резюме

Уразливість на межі привілеїв Windows впливає на службу Windows Health and Optimized Experiences (whesvc) та двигун Windows Diagnostics Lua. Зловмисник з низькими привілеями або кодом WPAD LPAC може викликати довірений захід ETW, щоб завантажити та виконати довільний модуль Lua. Успішна експлуатація дозволяє локальне підвищення привілеїв до облікового запису SYSTEM.

Розслідування

Дослідження показують, що служба LocalSystem обробляє події ETW без достатньої перевірки виробника подій або обмеження місць, звідки можуть завантажуватись модулі Lua. Доказ концепції використовує сценарій PowerShell для виклику робочого процесу і запускає whoami.exe через cmd.exe, підтверджуючи успішне виконання з привілеями рівня SYSTEM.

Пом’якшення

Користувачі повинні звернутися до керівництва з оновлення від Microsoft Security Response Center (MSRC) для CVE-2026-85884 та застосувати відповідні патчі безпеки. Впровадження принципу найменших привілеїв і моніторинг незвичної активності подій ETW, пов’язаної з whesvc, можуть забезпечити додатковий захист.

Відповідь

Коли виявляється несанкціонована активність служби LocalSystem або підозріле виконання PowerShell, що стосується робочого процесу whesvc, організації повинні ізолювати уражений хост. Перегляньте телеметрію ETW для аномальних подій Microsoft.Windows.Diagnostics.Lua і перевірте модулі Lua на предмет несанкціонованих або несподіваних змін.

Виконання симуляції

• Опис атаки і команди: Зловмисник отримав початковий доступ до робочої станції та ідентифікував уразливість у службі whesvc. Щоб підвищити привілеї до service. To escalate privileges to SYSTEM, зловмисник завантажує сценарій на ім’я Invoke-WhesvcToSystem.ps1. Вони виконують цей сценарій, використовуючи powershell.exe з прапором -ExecutionPolicy Bypass , щоб обійти локальні обмеження безпеки. Як тільки експлуатація виконана, зловмисник негайно виконує whoami /user щоб підтвердити, що вони успішно перейшли з контексту стандартного користувача в контекст NT AUTHORITYSYSTEM. Ця послідовність розроблена, щоб відповідати специфічним підписам виявлення, наданим у правилі. Сценарій регресійного тестування:

• # 1. Створити фіктивну версію сценарію експлуатації для задоволення перевірки командного рядка $scriptPath = “$env:TEMPInvoke-WhesvcToSystem.ps1” “Write-Output ‘Simulating Exploit…'” | Out-File -FilePath $scriptPath -Encoding utf8 # 2. Виконати команду, точно як визначено у логіці виявлення # Це має викликати правило Start-Process “powershell.exe” -ArgumentList “-NoProfile -ExecutionPolicy Bypass -File .$scriptPath” -Wait # 3. Виконати вторинний тригер виявлення (whoami /user) cmd.exe /c “whoami /user”

  # 1. Create a dummy version of the exploit script to satisfy the command line check
  $scriptPath = "$env:TEMPInvoke-WhesvcToSystem.ps1"
  "Write-Output 'Simulating Exploit...'" | Out-File -FilePath $scriptPath -Encoding utf8
  
  # 2. Execute the command exactly as defined in the detection logic
  # This should trigger the rule
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File .$scriptPath" -Wait
  
  # 3. Execute the secondary detection trigger (whoami /user)
  cmd.exe /c "whoami /user"

• Команди очищення:

  # Видалити симульований сценарій експлуатації
  Remove-Item -Path "$env:TEMPInvoke-WhesvcToSystem.ps1" -Force