Scalata ai privilegi nel cuore di Windows: come un utente qualsiasi può diventare amministratore

Non tutte le vulnerabilità servono a entrare. Alcune servono a salire. Questa è di quelle: si chiama escalation di privilegi locale (in inglese Local Privilege Escalation, LPE). Presuppone che l'attaccante sia già dentro con un accesso limitato — come un impiegato normale — e gli permette di diventare amministratore, cioè di avere il controllo totale della macchina.

Perché conta se l'attaccante è già dentro? Perché gli attacchi reali sono fatti a stadi. Prima si entra con pochi poteri (una mail di phishing, una password rubata). Poi serve «diventare grandi» per fare danni veri: disattivare l'antivirus, rubare le password di tutti, installarsi stabilmente. Una falla LPE è esattamente l'ascensore per quel secondo piano.

La falla vive in un driver, cioè un pezzo di software che lavora nel «cuore» del sistema operativo (il kernel), dove si ha il massimo dei poteri. Il difetto tecnico è un TOCTOU, sigla di Time-Of-Check to Time-Of-Use: il driver controlla una cosa in un momento e la usa un istante dopo, e in quel brevissimo intervallo un attaccante abile riesce a cambiarla, ingannando il controllo appena fatto.

Entrare con pochi poteri è metà dell'opera. Il resto del danno lo fa chi riesce a diventare amministratore.

Cosa fare

La difesa è l'aggiornamento: le patch dei driver vanno applicate con la stessa urgenza di quelle dei programmi esposti. Dove il driver non serve, lo si può bloccare. Intanto conviene sorvegliare i segnali di una scalata in corso, come la comparsa improvvisa di processi con privilegi massimi avviati da utenti normali:

# Allarme: processo SYSTEM nato da un utente normale (log Sysmon ID 1)
Nuovo processo con integrità = SYSTEM
Processo padre con integrità = Medium (utente normale)

# Difese
- Patch dei driver con priorità alta
- Blocco dei driver vulnerabili noti (regole WDAC / blocklist)
- Principio del minimo privilegio: meno account potenti, meno bersagli

Perché conta. Le falle nei driver sono la via maestra verso il controllo totale di una macchina, e vengono usate proprio dopo l'ingresso iniziale. Tenere aggiornati i driver — spesso dimenticati rispetto ai programmi — chiude l'ascensore che porta gli attaccanti ai piani alti.