A escalada de privilégios significa obter mais acesso do que aquele que foi inicialmente concedido. Um atacante começa com uma conta de baixo nível de privilégios, como um utilizador padrão ou um serviço comprometido. A partir daí, encontra uma forma de se tornar administrador ou root. Este nível de privilégios mais elevado permite-lhe desativar ferramentas de segurança, instalar backdoors e aceder a dados que antes eram inacessíveis. A escalada de privilégios é, muitas vezes, o passo que transforma uma pequena violação numa ameaça grave.

A escalada de privilégios ocorre de duas formas. A escalada vertical sobe na hierarquia de privilégios, de utilizador a administrador. A escalada horizontal ocorre lateralmente, de uma conta de utilizador para outra com direitos semelhantes. Ambas são importantes. Um atacante que comprometa uma conta de suporte técnico e faça escala horizontalmente para uma conta financeira pode aprovar pagamentos. As técnicas variam desde a exploração de vulnerabilidades não corrigidas no kernel até à pesquisa de credenciais em ficheiros de configuração ou na memória. Os serviços mal configurados executados como SYSTEM são um caminho comum. O mesmo acontece com tarefas agendadas, permissões de serviço fracas e credenciais armazenadas em scripts. Uma vez que um atacante obtém direitos de administrador, a deteção torna-se mais difícil. Pode desativar o registo de registos, limpar registos de eventos e instalar rootkits. Quanto mais cedo for detetada a escalada, melhor.

Caminhos comuns de escalonamento

• Vulnerabilidades não corrigidas no kernel ou nos serviços
• Permissões mal configuradas em ficheiros ou serviços
• Credenciais armazenadas em texto simples ou na memória.
• Contas de serviço fracas com direitos excessivos
• Explorar tarefas agendadas ou scripts de arranque

O princípio do menor privilégio limita o que um atacante pode fazer antes de escalar os seus privilégios. A aplicação de patches corrige as vulnerabilidades necessárias para que possa escalar os seus privilégios.