Перейти к содержанию
Vsevolod

(Anti) WinLock тест для проверки HIPS на предотвращение заражения через браузер

Recommended Posts

Vsevolod

http://www.softogen.ru/lab/softogen-lab/mi...urity-test.html

http://kadets.info/showthread.php?t=86568

IMHO, программу надо делать не exe файл, а в виде интерфейса вэб-страницы. Вероятно, с использованием JаvаSсriрt.

Программу эту защитные антивирусные программы могут обнюхать и сравнить с базой локальной или облачной, реагируя соответствующе (надо отключать антивирусы в комбайнах при тесте).

Программа сама у всех с разными настроенными для нее в HIPS правами. Тестируют: кто в авторежиме, кто нет. Права этой программы в настройках HIPS могут не совпадать с правами браузеров. В настройках некоторых HIPS простому пользователю непросто разобраться, сравнить и понять. В авторежиме, что чаще, у браузеров полные или почти полные права как у доверенных приложений или с небольшими ограничениями, что увеличивает вероятность пропуска через уязвимости.

Предлагаю реализовать данное предложение на этом сайте. Реализация функционала техзадания алгоритма много времени и сил у специалиста не займет, это мне как программисту (не вэб) понятно. Плюс дополнительный разноплановый интерес к сайту и его проекту.

Угрозы WinLock в наше время для простых пользователей, которых большинство, одни из самых визуально и эмоционально понятных, если не самые.

В продолжение данных тем:

http://www.anti-malware.ru/forum/index.php?showtopic=20324

http://www.anti-malware.ru/forum/index.php?showtopic=19500

Будет ли тест на заражение сайтами (drive-by)? Если да, браузеры будут настроены по умолчанию? И какие браузеры? Или их настройка заведомо должна быть низкой, чтобы не получилось так, что вирус до фаервола (вернее его HIPS) не дойдет и тест превратится в тест браузеров?
Это вторая часть теста - защита от внешних атак. Будем такое делать. Уже собираем эксплойты, которые как и в случае с активным заражением будет отражать основные методы и векторы атаки (использовать наиболее популярные уязвимости). Систему будем брать непропатченную конечно, иначе атак не пройдет. Браузер какой брать - это будет зависеть от конкретного эксплойта.

Будет на сайте опция онлайн-теста на проникновение WinLock - будет замечательно!

Далее, не останавливаясь на достигнутом, можно будет подумать и о реализации опций других подобных онлайн-тестов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      ---------------------------------------------------------
       4.11.8
      ---------------------------------------------------------
       o Управление DNS логом вынесено в отдельные твики, #41 и #42.
         DNS лог работает начиная с Win8 (в ограниченном виде) и с Win8.1 в полном.
         Отключение ведения лога происходит мгновенно во всех системах кроме Windows 10,
         в последнем случае необходимо перезагрузить систему после 42 твика.
         (Win7 и ниже не поддерживается).  
    • demkd
      да, выглядит странно, может быть CommandLineEventConsumer чем-то уже удален, антивирус какой-нибудь неаккуратно поработал.
    • santy
      здесь почему то нет потребителя события c5br1lMhB Consumer = "CommandLineEventConsumer.Name=\"c5br1lMhB\"" что это может быть? скрипт, который был недоступен на момент создания образа? запуск майнера был: C:\Windows\System32\rundll32.exe -o pool.supportxmr.com:443 -u 44EspGiviPdeZSZyX1r3R9RhpGCkxYACEKUwbA4Gp6cVCzyiNeB21STWYsJZYZeZt63JaUn8CVxDeWWGs3f6XNxGPtSuUEX -k --tls -p MOON но чем был вызван запуск - не смогли отследить. (зачистили без regt 39)                              IZTVMAIL01_2021-07-30_07-26-53_v4.11.6.7z
    • demkd
      привет, любой запуск процесса отслеживается, не важно что его запустило, дополнительно в wmi-activity разве что dll можно считать, которые подсаживались в wmiprvse.exe, толку только от этого.
    • santy
      Привет. Возможен ли расширенный мониторинг создаваемых процессов через подписки WMI, аналогично тому, как это выполняется сейчас в uVS через твик 39? (т.е. доп. события пишутся системой в лог WMI-Activity.evtx и затем экспортируются нужное в образ автозапуска) или это уже работает сейчас?  
×