Антивирусы Microsoft и Avast можно использовать как вайпер — с помощью 0day

Антивирусы Microsoft и Avast можно использовать как вайпер — с помощью 0day

Антивирусы Microsoft и Avast можно использовать как вайпер — с помощью 0day

Выступая на конференции Black Hat, проходящей в Великобритании, эксперт SafeBreach Ор Яир (Or Yair) рассказал об интересной уязвимости, характерной для некоторых EDR-решений. С ее помощью злоумышленник может заставить наделенного root-правами защитника стереть все данные в системе — даже файлы, необходимые для ее функционирования.

Найденная уязвимость нулевого дня определена как TOCTOU (Time of Check Time of Use) — разновидность состояния гонки. Ей подвержены продукты класса EDR, завершающие удаление выловленных зловредов после перезагрузки системы.

Путь к вредоносному файлу в этом случае сохраняется в определенном месте (зависит от вендора) и иногда даже не проверяется при удалении. Это хороший шанс для злоумышленника, который может, используя паузу, изменить путь к объекту и заставить EDR или антивирус стереть совсем другой файл.

В комментарии для Dark Reading Яир уточнил, что с этой целью автору атаки придется использовать точки соединения NTFS, которые работают так же, как симлинки, но только для папок на разных дисках.

Сами исследователи вначале создали зловреда с разрешениями рядового пользователя. Чтобы заставить испытуемую EDR отложить удаление до перезагрузки, файл держали открытым. В системе была также создана папка C:\TEMP\ (точка соединения NTFS) с привязкой к другой директории.

В итоге при попытке окончательно вычистить вредоноса EDR пошла по неверному пути и удалила совершенно безвредный файл. Как оказалось, подобный трюк можно использовать для удаления множества файлов в разных местах, создав короткий путь к папке и вставив в него пути к целевым ресурсам.

В SafeBreach протестировали 11 антивирусных продуктов разного производства. Шесть из них оказались уязвимыми к таким абьюзам — Microsoft Defender, Defender for Endpoint, TrendMicro ApexOne, Avast Antivirus, AVG Antivirus и SentinelOne. Некоторые из них нельзя использовать для стирания файлов по выбору, зато они могут удалить сразу всю папку.

Три вендора успели выпустить патчи до обнародования 0-day на Black Hat Europe 2022 — Microsoft, TrendMicro и Gen Digital (Norton LifeLock до слияния с Avast). Яир не исключает, что выявленная проблема актуальна и для других EDR-систем; парк потенциально уязвимых конечных устройств он оценил в сотни миллионов компьютеров.

Участники конференции также ознакомились с PoC-кодом Aikido, умеющим скрытно манипулировать EDR. Чтобы опытный образец соответствовал званию вайпера, его научили перезаписывать файлы перед удалением — в этом случае содержимое невозможно восстановить.

Астрал подтвердил целевую кибератаку после недельного сбоя сервисов

ГК «Астрал» впервые подробно прокомментировала масштабный сбой, который уже несколько дней влияет на работу её сервисов. Компания официально признала, что 9 июня подверглась серии целенаправленных хакерских атак.

По словам представителей «Астрала», именно атака стала причиной остановки ряда сервисов.

С первого дня специалисты компании работают над восстановлением инфраструктуры в круглосуточном режиме, а полностью завершить восстановление планируется 16 июня.

В компании также сообщили, что параллельно началось расследование с участием государственных органов в сфере информационной безопасности. По этой причине «Астрал» была ограничена в возможности публично комментировать происходящее.

Один из главных вопросов клиентов — что с данными? Здесь компания пытается успокоить пользователей. По результатам проведённой проверки признаков утечки или компрометации данных не обнаружено. Более того, защитные механизмы после инцидента были дополнительно усилены.

Почему восстановление заняло почти неделю? В «Астрале» объясняют это необходимостью полной проверки каждого сервиса перед возвращением в эксплуатацию. Компания подчёркивает, что не собирается жертвовать безопасностью ради более быстрого запуска.

По состоянию на сегодняшний день большая часть сервисов уже работает в штатном режиме. Последними должны вернуться в строй ОФД и оставшиеся компоненты экосистемы.

Отдельно компания заявила, что взаимодействует с контролирующими органами, чтобы последствия инцидента не отразились на клиентах. Для пользователей также подготовлены официальные письма, подтверждающие, что проблемы возникли на стороне инфраструктуры оператора.

Таким образом, спустя неделю после начала сбоев «Астрал» фактически подтвердил то, о чём многие пользователи и так догадывались: причиной проблем стала не техническая ошибка и не авария, а полноценная кибератака на инфраструктуру компании.

RSS: Новости на портале Anti-Malware.ru