Найден метод обхода Защитника Windows
Новости Безопасность
Эксперты безопасности CyberArk научились обманывать Защитник Windows, заставляя его сканировать благонадежные файлы, а запускать вредоносные. Однако в Microsoft заявили, что компания не видит проблемы в архитектуре безопасности и не будет исправлять уязвимость во встроенной антивирусной защите, пишет Threatpost.
«Едва ли эта методика найдет широкое применение. Злоумышленнику сначала нужно убедить пользователя согласиться на выполнение неизвестной программы из непроверенного источника. Чтобы дать злоумышленнику права администратора, пользователю надо будет отклонить ряд дополнительных предупреждений. И даже если преступнику все-таки удастся заставить пользователя выполнить все эти шаги, антивирусная программа Защитник Windows и Advanced Threat Protection в Защитнике Windows смогут обнаружить и предотвратить дальнейшие действия хакера», — заявили в Microsoft.
Руководитель группы киберисследований в CyberArk Дорон Наим (Doron Naim) и Коби Бен-Наим (Kobi Ben Naim), старший директор того же направления, рассказали Threatpost, что разработанная ими атака, которую они назвали Illusion Gap, может обойти и другие коммерческие антивирусы. Умелый хакер с ее помощью может проникнуть через систему в локальную сеть или использовать другие уязвимости.
Главный компонент разработанной схемы — вредоносный сервер SMB, на котором размещается эксплойт. Сначала злоумышленнику нужно убедить жертву выполнить этот эксплойт, после чего сервер SMB отправляет загрузчику программ (который готовит процессы к запуску в операционной системе) и Защитнику Windows разные файлы. Как только загрузчик создаст процесс для выполнения файла и запросит его у сервера SMB, злоумышленник передает ему зловред. Но когда исполняемый файл запрашивает Защитник Windows для сканирования, то получает с сервера безопасный код. Таким образом, у Защитника нет причин блокировать исполнение процесса — и загрузчик с чувством выполненного долга запускает вредоносный файл.
По мнению Наима, в основе проблемы лежит ошибка разработки, связанная с запросами Защитника Windows. «Со стороны сервера SMB понятно, откуда исходит запрос — из операционной системы или из Защитника Windows. Когда злоумышленник на стороне SMB видит, что Защитник Windows собирается просканировать вредоносный файл, он отправляет ему безопасный, а в системе затем запускается именно зловред».
Также Наим сообщил, что им удалось создать скрипт с запросом к Защитнику Windows, вызывающим у того фатальную ошибку.
Однако Microsoft не согласилась с CyberArk насчет того, что речь идет о проблеме в архитектуре системы безопасности. По их мнению, поскольку злоумышленник должен для начала завоевать доверие пользователя, проблема просто в отсутствии настроек, которые не дадут выполнить вредоносный код с ненадежного сервера SMB. Как сообщила Microsoft, поручение о разработке нужной функции уже было передано группе разработчиков.
«Это довольно странный ответ. Первая и единственная цель любого средства безопасности — обеспечить максимальную защиту, — комментирует Бен-Наим. — Если каждый исполняемый файл должен сканироваться антивирусом, но сканирование оказывается невозможным, такой процесс априори нельзя запускать. Это должен понимать любой вендор систем безопасности».
По словам Наима, Защитник Windows делает с точностью до наоборот: если он не может просканировать файл, то по умолчанию разрешает его выполнение. А тем временем представители CyberArk заявили, что в частном порядке сообщили о похожих проблемах и другим поставщикам средств кибербезопасности.
15.04.2025 16:27
«Яндекс» представил умную IP-камеру
«Яндекс» представил свое первое устройство в категории безопасности — умную IP-камеру, которая поможет контролировать безопасность дома
|
07.04.2019 19:42
Как увидеть скрытых друзей во «ВКонтакте»
Поскольку многие пользователи «ВКонтакте» искренне верят, что существует способ увидеть чужих скрытых друзей, Софтодром решил этот миф опровергнуть
29.11.2017 23:52
Как защитить файл или папку паролем в Windows
Что делать, если вы используете компьютер под управлением Windows и вдруг решили защитить какой-либо файл или папку паролем, чтобы посторонние не могли узнать, что у вас там находится
Ищете, где скачать бесплатные программы?
Скачать бесплатные программы для компьютера на Windows и смартфона на iOS или Android можно на Софтодроме. На данный момент в каталоге Софтодрома представлено более 13 000 бесплатных программ для Windows, iOS, Android и Linux.
|
|
