McAfee выходит на рынок защиты корпоративных сетей

Производитель средств антивирусной защиты McAfee сегодня анонсирует свою новую бизнес-стратегию, направленную на защиту корпоративных сетей. Для работы по соответствующему направлению в компании было создано подразделение Network Security Business Unit. В McAfee отмечают, что уже сегодня объем рынка решений для защиты корпоративных сетей составляет 500 млн долларов, а в ближайшие пару лет он имеет все шансы достигнуть объема в 1 млрд долларов.

В самой McAfee видят свое будущее в данном сегменте довольно радужно. По прогнозам Дэна Райена, вице-президента компании, через три года McAfee должна стать игроком №3 после Cisco и Checkpoint.

Ключевым продуктом нового направления должен стать уже знакомый корпоративным пользователям ePolicy Orchestrator. "В прошлом у нас был набор автономных решений для защиты корпоративных ресурсов, сейчас мы намерены связать их вместе", - говорит Райен.

До McAfee Дэн Райен работал в компании Secure Computing в качестве CEO. Secure Comuting была куплена McAfee в прошлом году.

Вместе с ePolicy Orchestrator компания также намерена делать упор на свое второе комплексное решение Total Protection Suite, для которого McAfee сегодня анонсирует новый безопасный интернет-шлюз и почтовый шлюз. Для новый решений, говорит вице-президент, будут использоваться и новые решения, в частности User Behavior Analysis, представляющий собой систему поведенческого анализа сети и ее отдельных узлов.

В более отдаленной перспективе компания намерена продвигать аппаратные файерволлы, которые будут являться усовершенствованными версиями нынешних 2150 VX McAfee Firewall Enterprise. Новые решения будут поставляться в вариантах для 8,16 и 32 портов по ценам 59 000, 79 000 и 99 000 долларов соответственно. Также производитель представит решения для виртуализации - McAfee Firewall Enterprise Virtual Appliance for VMware.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Волокна Windows позволяют выполнить вредоносный шеллкод незаметно для EDR

На проходящей в Сингапуре конференции Black Hat Asia были представлены два новых способа использования волокон Windows (fibers) для выполнения вредоносного кода. Один из них, Poison Fiber, допускает проведение атаки удаленно.

Автором обоих PoC является независимый ИБ-исследователь Даниел Джэри (Daniel Jary). По его словам, атаки Poison Fiber и Phantom Thread представляют собой улучшенные варианты opensource-разработок: они позволяют надежнее скрыть сторонний шеллкод или другую полезную нагрузку в системе, находящейся под защитой EDR.

Поддержка волокон была введена в Windows 3 и ранних версиях macOS в обеспечение многозадачной работы по упрощенной схеме. В те времена у процессоров было меньше ядер, и разделение рабочей нагрузки на потоки не всегда давало нужный эффект.

Концепция волокон обеспечила более мелкое дробление, уже внутри потоков. При этом они существуют только в режиме пользователя, а планирование осуществляет поток, в контексте которого они выполняются.

Для ядра ОС волокна невидимы (к планировщику заданий обращаются потоки, они и считаются исполнителями всех операций), из памяти их извлечь трудно. Подобные свойства очень привлекательны для злоумышленников: они позволяют внедрить в систему вредоносный код в обход антивирусной защиты.

Волокна и по сей день используются некоторыми процессами Windows, а также облегчают перенос приложений с других платформ. Возможность злоупотреблений проверялась неоднократно; так, в 2022 году были опубликованы PoC-методы сокрытия в волокне шеллкода и маскировки стека вызовов с помощью спящего волокна (добавлен в набор Cobalt Strike).

Разработка Phantom Thread использует второй подход, но при этом возможность обнаружить зловреда сканированием памяти полностью исключена. С этой целью создается волокно, а затем патчится таким образом, чтобы выдать его за поток.

Второй PoC, созданный Джэри (Poison Fiber), перечисляет запущенные процессы Windows и фиксирует потоки, использующие волокна, а затем предоставляет возможность внедрить пейлоад или шеллкод в спящее волокно — такие всегда найдутся на стеке. Вредоносная инъекция защиту не насторожит, как случае с остановом потока, а исполнение запустит легальная программа.

«Атаки через волокна — это не повышение привилегий, не обход UAC, но доставка полезной нагрузки при этом привлекает намного меньше внимания, — пояснил исследователь для Dark Reading. — Их легко реализовать и труднее детектировать, поэтому волокна — прекрасный вариант для любого скрипт-кидди».

Публиковать другие подробности и PoC-коды Джэри пока не собирается, но советует ИБ-службам включить Windows Fibers в список потенциальных векторов атаки, а EDR-защиту постоянно проверять на готовность к новым угрозам.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru