Баг Microsoft Defender и Kaspersky EDR позволяет удалить безобидные БД

Баг Microsoft Defender и Kaspersky EDR позволяет удалить безобидные БД

Баг Microsoft Defender и Kaspersky EDR позволяет удалить безобидные БД

Исследователи из SafeBreach указали на проблемы в защитных продуктах от Microsoft и «Лаборатории Касперского», с помощью которых условный удалённый злоумышленник может удалить файлы и базы данных.

Свой доклад команда SafeBreach представила на конференции Black Hat Asia, которая проходила в Сингапуре. Эксперты выявили бреши в продуктах Microsoft Defender и Kaspersky Endpoint Detection and Response (EDR).

Томер Бар и Шмуэль Коэн из SafeBreach обратили внимание на возможность обманом заставить Microsoft Defender и Kaspersky EDR детектировать отдельные файлы, а затем — удалить их. Это классическое ложноположительное срабатывание.

Потенциальный вектор атаки завязан на том, как продукты Microsoft и Kaspersky используют байтовые сигнатуры для выявления вредоносных программ.

«Мы поставили цель — запутать EDR, внедрив сигнатуры вредоносного кода в легитимные файлы. Таким способом мы пытались заставить защитное решение детектировать безобидные файлы», — объясняют в SafeBreach.

Бар и Коэн для начала нашли байтовую сигнатуру, связанную с вредоносом, на площадке VirusTotal, а затем внедрили её в базу данных: создали нового пользователя с именем, включающим сигнатуру.

После этого EDR-система посчитала, что хранящая сигнатуру БД заражена зловредом. Если защитный софт настроен на удаление таких файлов, он снесёт БД. Этот же подход сработал и с Microsoft Defender.

Команда SafeBreach передала Microsoft информацию о бреши в январе 2023 года, а этом месяце разработчик уже выпустили патч для проблемы, получившей идентификатор CVE-2023-24860.

В «Лаборатории Касперского» отметили, что не считают это уязвимостью, поскольку поведение EDR-системы в этом случае продиктовано принципом её работы. Но при этом в Kaspersky планируют реализовать ряд фиксов для митигации проблемы.

Точка Банк запустил ИИ-проверку сайтов и соцсетей бизнеса на скрытые схемы

Точка Банк представил на Уральском форуме «Кибербезопасность в финансах» собственный сервис ИИ-мониторинга для проверки сайтов и соцсетей бизнеса. Сервис встроен в процессы банка и автоматически анализирует онлайн-площадки клиентов перед подключением интернет-эквайринга. Проверка проводится не один раз — мониторинг продолжается и дальше на регулярной основе.

Главная особенность решения — оно оценивает не только сайты, но и страницы в соцсетях. Сейчас система уже умеет проверять магазины во «ВКонтакте», в перспективе планируется добавить мониторинг телеграм-каналов юридических лиц.

ИИ-мониторинг проверяет несколько вещей. Во-первых, наличие вредоносного кода — например, если на сайте размещён скрипт, который может перехватывать данные банковских карт или доступ к интернет-банку.

Во-вторых, анализируется содержание площадки: большие языковые модели оценивают тексты и ищут признаки скрытой или запрещённой деятельности. В-третьих, система отслеживает продажу запрещённых товаров и услуг — например, если под видом одной продукции фактически рекламируется другая.

В банке подчёркивают, что результаты автоматической проверки не являются окончательными: все подозрительные случаи передаются специалисту для дополнительного анализа, и решение принимается уже с учётом полной картины.

По словам Андрея Румянцева, лидера направления машинного обучения в Точка Банке, сервис настроен именно под задачи проверки бизнес-площадок и обучен на большом массиве сайтов юридических лиц.

Технология, по его словам, должна помочь банку снижать риски работы с недобросовестными компаниями, а предпринимателям — вовремя замечать проблемы на своих онлайн-ресурсах.

Фактически речь идёт о ещё одном уровне проверки цифрового присутствия бизнеса — с упором не только на техническую безопасность, но и на содержание.

RSS: Новости на портале Anti-Malware.ru