Перейти к содержанию

Recommended Posts

priv8v

Ну, может эти люди и поняли, а я нет :) Лично я не понял, что именно не разрешается батнику, который создает и запускает ехе-файл (в смысле этот батник создается ехе-файлом)

Распишите если можно подробно кто в какой группе и как наследует права.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Распишите если можно подробно кто в какой группе и как наследует права.

Подробно:

Есть зловред,который создает этот батник:

32240.jpg

В этом батнике прописанны команды, предназначенные для уничтожения с помощью ГМЕР( logsvc.exe) всех запущенных файлов плагина GBPlugin с использованием параметра killfile.

Рассматриваем только ручной режим работы KIS(остальное все по умолчанию),т.к. на автомате аллертов не будет-батник попадает при запуске в слабые ограничения, гмер находится в доверенных у KIS, но так как он запущен грубо говоря с помощью батника- он унаследует права и ограничения батника и на все действия гмер KIS выдаст аллерты- естественно все действия по удалению плагина можно будет запретить. Вот о чем я. :)

post-5261-1255893259_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
он унаследует права и ограничения батника и на все действия гмер KIS выдаст аллерты

Иными словами если его запустить руками (двойной щелчок) и удалять эти файлы из окна гмера, то алертов от КИСа в этом режиме не будет? (т.к запускали мы его чисто, а не ограниченным батником).

В какой группе будет гмер у КИСа при запуске:

а). из батника

б). руками - мышкой

?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Иными словами если его запустить руками (двойной щелчок) и удалять эти файлы из окна гмера, то алертов от КИСа в этом режиме не будет? (т.к запускали мы его чисто, а не ограниченным батником).

В какой группе будет гмер у КИСа при запуске:

а). из батника

б). руками - мышкой

?

Иными словами- если запустить гмер ручками и сносить все из его окна- аллертов не будет-т.к. ГМЕР в доверенных у KIS(в любом режиме-хоть автомат,хоть ручной)

а) При запуске из батника гмер будет в доверенных,но будет иметь права группы в которой находится сам батник-это слабые ограничения(грубо говоря-формально гмер в доверенных,но фактически в слабых ограничениях)

б)В доверенных.

p.s. Иными словами -любое приложение из группы доверенные,будет иметь права приложения которое его запустило-это наследование прав. Пример с FAR уже приводил.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Инфа про батник запускающий гмер точна? Просто мне лень поднимать тестовую машину и ставить на нее кис.

Просто если смотреть с точки зрения ОСи, то дочерние приложения выглядят так:

explorer > cmd > gmer

Но, я вполне допускаю, что КИС может понять, что это батник и выставить разрешения как должно.

А на полном автомате как будет? (по-моему, таковы настройки по умолчанию - если не снимать и не ставить никакие галочки при установке).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

priv8v

Сам пример батника тут: http://www.securelist.com/ru/weblog/32239/Ogon_po_svoim

По логике KIS цепочка будет такая:

userinit.exe->explorer-> сам батник->gmer

На полном автомате никак- аллертов не будет- это если брать цепочку батник->gmer. Но я допускаю, что вредонос(пока его нет в базах) попадет не в слабые ограничения- а в сильные и до запуска гмер дело не дойдет вообще.

p.s. по поводу настроек- во время установки KIS пользователь выбирает что ему нужно-автомат или ручной. так что тут 50\50. Кто что выберет..

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

а где можно посмотреть (я все-таки снова поставлю кис), что гмер хоть и находится в доверенных, но раз его запустил кто-то из ограниченных, то он наследует ограниченные права?

(в каком окошечке это видно)

Хочу сам поколупаться еще немного...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

На скрине отметил. ;)

16.jpg

post-5261-1255896851_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ASMax
Я думаю вот что. Очень бы мне хотелось понять авторов данных инструментов. Почему они не озаботились хотя бы минимальными защитными механизмами? Ведь "плохим парням" необходимо сначала провести достаточно глубокий анализ. Так почему бы не воспользоваться технологиями "плохих парней"? Можно использовать полиморфные упаковщики, можно запросы из пользовательского пространства в драйвер шифровать, можно проверять какие-либо подписи, можно придумать еще какие-либо защитные механизмы, особенно если существует "консольный/удаленный" доступ к инструменту.

Дык обычно защищать протокол начинают уже после того как гром грянет. Например, одна_известная_фирма_производитель_защит_для_компакт_дисков после демонстрации им перехода в нулевое кольцо через их драйвер приняла серьезные меры с цифровыми подписями и т.п. Хотя другая_фирма_производитель_решений_для_виртуализации в аналогичной ситуации ограничилась лишь тем, что увеличила длину ключа, проверяемого в драйвере, с 16 до 24 байт, решив видимо, что его брутфорсят. :lol:

А вот захотят ли заморачиваться с защитами разные независимые антируткиты и т.п. - большой вопрос, т.к. они какбэ никому ничего не должны... <_<

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Дык обычно защищать протокол начинают уже после того как гром грянет. Например, одна_известная_фирма_производитель_защит_для_компакт_дисков после демонстрации им перехода в нулевое кольцо через их драйвер приняла серьезные меры с цифровыми подписями и т.п. Хотя другая_фирма_производитель_решений_для_виртуализации в аналогичной ситуации ограничилась лишь тем, что увеличила длину ключа, проверяемого в драйвере, с 16 до 24 байт, решив видимо, что его брутфорсят. :lol:

А вот захотят ли заморачиваться с защитами разные независимые антируткиты и т.п. - большой вопрос, т.к. они какбэ никому ничего не должны... <_<

Ладно, пофиг на Сони, но мне вообще, принципиально не нравится подход производителей инструментов. Конкретно:

после того как гром грянет
. Мы все-таки не пирожки продаем, а занимаемся серьезными вещами.

Кстати, увеличение длины ключа никому никогда не поможет, т.к. сервер и клиент находятся в одной среде, т.е. ключ известен. И если "альтруистические" ребята (пишущие анти-руткиты), ждущие что их купят, будут работать так, то на кой хрен они нужны серьезным компаниям... Это касается и гмер, и других продуктов...

Интересно где Йен которого давно пора забанить на этом портале? :) Молчит что-то, особенно после хамства в мою сторону, которое кто-то подправил и оно оказалось только в rss.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

sww

Слав, Олегу стоит тоже задуматься по поводу защиты AVZ? ;) Помню был зловред,который юзал драйвер AVZ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
Интересно где Йен которого давно пора забанить на этом портале? :) Молчит что-то, особенно после хамства в мою сторону, которое кто-то подправил и оно оказалось только в rss.

Здесь я, мне нечего добавлять, просто смотрю как эксперты шатаются из стороны в сторону - то нужна защита от батников, то не нужна. Причем проблема батников не новая, но год назад все говорили, что проблемы нет, а теперь зашевелились.

Это хорошо, так скоро дойдут и до того, что домашним пользователям нужен нормальный файрвол как в КИС 7, а не революционный придаток к ХИПСу, как в КИС 8 и 9.

А если все будет совсем хорошо, то скоро догадаются, что новые версии нужно делать не каждый год и не под даты футбольных турниров, а по готовности :).

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
sww

Слав, Олегу стоит тоже задуматься по поводу защиты AVZ? ;) Помню был зловред,который юзал драйвер AVZ...

Всем нужно задуматься ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ashot
Ладно, пофиг на Сони

А разве про SONY речь? Это в SF в R0 можно было попасть...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
А разве про SONY речь? Это в SF в R0 можно было попасть...

А ведь действительно, ошибся :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Сейчас не подключался инет, дозванивался в техподдержку и долго ждал ответа оператора (трубу в это время зажимал головой и плечом...) к чему это я?.. К тому, что пока сидел, набросал для улучшения моего понимания того, как каспер смотрит на приложения в группе доверенных, небольшой троянчик... суть в следующем: беспалевным (это только в теории - я не проверял) способом пишет одну строку в файл хостс. Говорю сразу - с батниками это никак не связано, это имеет косвенное отношение к доверенным.

Кто может сказать как на него прореагирует КИС 2009 или 2010 и показать скрин активности приложений? Кому можно выслать в ЛС (вес 6 кб) ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ASMax
А разве про SONY речь? Это в SF в R0 можно было попасть...

Угу. :)

Мы все-таки не пирожки продаем, а занимаемся серьезными вещами.

И если "альтруистические" ребята (пишущие анти-руткиты), ждущие что их купят, будут работать так, то на кой хрен они нужны серьезным компаниям... Это касается и гмер, и других продуктов...

Теоретически, на такую ситуацию можно было бы воздействовать тестами. Т.е. если независимые тесты подобных утилит начнут штрафовать участников за незащищенный протокол (как АВ штрафуют за фалсы), то это может побудить авторов к действиям. Но для этого желательно, чтобы хоть у кого-нибудь такая защита уже была реализована.

С другой стороны, для авторов антируткитов тоже не все очевидно, если говорить о защите кода. Использовать коммерческие протекторы? Дык они врядли захотят платить. Использовать бесплатные? Но тогда их поделка скорее всего начнет детектиться АВ. Писать самому? Многие не имеют в этом опыта, а написание серьезной защиты может оказаться трудозатратнее самого антируткита. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Теоретически, на такую ситуацию можно было бы воздействовать тестами. Т.е. если независимые тесты подобных утилит начнут штрафовать участников за незащищенный протокол (как АВ штрафуют за фалсы), то это может побудить авторов к действиям. Но для этого желательно, чтобы хоть у кого-нибудь такая защита уже была реализована.

Мне кажется, что это сработает только теоретически. По-большому счету авторам анти-руткитов должно быть плевать на любые тесты и прецедент не спасет. Ну есть у кого-то подобная защита и что с того?

С другой стороны, если эти ребята желают быть купленными как Гмерек, то желательно чтобы хоть какая-то защита у них была. А независимых тестов в таком плане я нигде не видел, слишком сложно.

С другой стороны, для авторов антируткитов тоже не все очевидно, если говорить о защите кода. Использовать коммерческие протекторы? Дык они врядли захотят платить. Использовать бесплатные? Но тогда их поделка скорее всего начнет детектиться АВ. Писать самому? Многие не имеют в этом опыта, а написание серьезной защиты может оказаться трудозатратнее самого антируткита. :)

Я не говорил о серьезной защите, я говорил о минимальной. Можно обойтись и без полиморфных упаковщиков и в то же время затруднить анализ инструмента, а уж его использование "плохими парнями" и подавно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ASMax
Мне кажется, что это сработает только теоретически. По-большому счету авторам анти-руткитов должно быть плевать на любые тесты и прецедент не спасет. Ну есть у кого-то подобная защита и что с того?

Если будет прецедент, то в тестах такой продукт, при прочих равных, займет более высокое место. И вот тогда, при условии что автор хочет чтобы его купили, ему придется работать уже на маркетинговую табличку с призовыми местами и на избавление от камента "security hole". Согласен, что это все теоретизирование, но других способов воздействия нет. Ну разве что детектить их. :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Если будет прецедент, то в тестах такой продукт, при прочих равных, займет более высокое место.

Повторюсь возможно, но кто и как будет проводить подобные тесты? :) Там надо провести анализ бинарников каждого анти-руткита. Ну вот кто этим будет заниматься?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ASMax
Повторюсь возможно, но кто и как будет проводить подобные тесты? :) Там надо провести анализ бинарников каждого анти-руткита. Ну вот кто этим будет заниматься?

Ну... будем надеяться, что antimalware.ru когда-нибудь. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr.Golova

Да передетектить их всех - нормальные программы в ядре не копаются, и даже близко подходить боятся. (с) Авира

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel

Например, RkU прошел жизненное тестирование. Было столько желающих его нагнуть, но все так и пошли в лес отсосиновики собирать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ASMax
Например, RkU прошел жизненное тестирование. Было столько желающих его нагнуть, но все так и пошли в лес отсосиновики собирать.

Ты утверждаешь, что было много желающих воспользоваться драйвером РКУ в своих целях, но ни у кого не получилось?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
Ты утверждаешь, что было много желающих воспользоваться драйвером РКУ в своих целях, но ни у кого не получилось?

Ну было же целое паломничество к его драйверу. Всё баги там искали, бэкдоры.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Иногда спрашивают, как загрузиться в командную строку без диска, я постоянно забывают дополнить Общий FAQ.
      И вот наконец-то я про это вспомнил:
      Q: Как запустить uVS с командной строки Windows без использования загрузочного диска/флешки для работы с НЕактивной системой.
         (!) Для текущей версии uVS работа с командной строки доступна только для 32-х битных систем. (что бы работало в x64 системах, нужно делать uVS x64 и это запланировано).
         1. Если у вас Windows 8 и старше, то запустите start.exe и нажмите кнопку "Перезагрузить систему в меню дополнительных параметров загрузки".
         2. Далее в меню "Поиск и устранение неисправностей->Дополнительные параметры->Командная строка"
         3. Выберите админскую учетную запись и введите для нее пароль.
         4. Запустите start.exe из каталога uVS с командной строки.
            (!) Обычно система расположена на диске D.
                Например: uVS лежит в каталоге С:\uvs (в командной строке это будет D:\uvs)
                Для запуска uVS необходимо последовательно набрать 3 команды, завершая каждую нажатием клавиши Enter.
                1. d:
                2. cd d:\uvs
                3. start.exe
         5. Выбрать каталог Windows (обычно D:\Windows).
         Если у вас Windows 7 и младше, то в меню вы можете попасть только нажав F8 при перезагрузке системы
         (!) Использовать msconfig для этого не рекомендуется, система может не загрузиться после его использования.
         Для младших систем доступен только безопасный режим с поддержкой командной строки, т.е. система будет активна.
       
    • demkd
      ---------------------------------------------------------
       4.15.5
      ---------------------------------------------------------
       o Обновлена функция трансляции переменных окружения USERPROFILE, HOMEPATH, LOCALAPPDATA, APPDATA.
         Значения этих переменных теперь зависят от того где физически находится lnk файл.
         Теперь с разбором lnk файлов будет меньше проблем, но я все же рекомендую удалять ссылки
         на отсутствующие объекты только под текущем пользователем.

       o Исправлена функция разбора путей не содержащих букву диска.

       o Исправлена функция разбора аргументов rundll32.

       o Обновлен start.exe.
         o Обновлен интерфейс.
         o Изменена кнопка по умолчанию, теперь это "запуск под текущим пользователем".
         o Исправлена ошибка: при определенных параметрах повторный запуск uVS в режиме "до запуска эксплорера" был невозможен.
         
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 17.1.13.
    • demkd
      ---------------------------------------------------------
       4.15.4
      ---------------------------------------------------------
       o Обновлен интерфейс.

       o Из Ф портировано окно "История запуска процессов" для комфортного распутывания цепочек запуска и взаимодействия
         процессов с задачами.
         Доступ к окну можно получить через меню "Дополнительно->История процессов и задач".
         В первом списке отображается история запуска процессов с момента старта системы (по данным журнала Windows).
         В списке доступен фильтрующий поиск по имени, PID и фильтрация по родительскому процессу (см. контекстное меню).
         В нижнем списке отображается история воздействия процессов на задачи с момента запуска системы, а если установлен
         фильтр родительского процесса то отображаются лишь те задачи с которым взаимодействовал родительский процесс.
         (!) История доступна лишь при активном отслеживании процессов и задач (Твик #39).
         (!) История не доступна для неактивных систем.

       o Обновлен формат образа автозапуска, образы созданные v4.15.4 не будут читаться старыми версиями uVS.
         Добавлено:
          o Мгновенный срез активности процессов на момент завершения создания образа (Запустить->Просмотр активности процессов [Alt+D])
          o История процессов и задач (Дополнительно->История процессов и задач)
            (!) История доступна лишь при активном отслеживании процессов и задач (Твик #39).
          o Защита образа от повреждений.

       o Утилита cmpimg обновлена до версии 1.04 для поддержки нового формата образов автозапуска.

       o Утилита uvs_snd обновлена до версии 1.05 для поддержки нового формата образов автозапуска.

       o Теперь при подключении к удаленной системе всегда запускается "v" версия uVS, если клиентская система не младше Vista.
         На удаленной системе всегда запускается обычная версия uVS для совместимости с системами младше Vista.

       o Исправлена ошибка отображения имени процесса при работе под Win2k в окне "Активность процессов".
         (!) Английская версия uVS НЕ_совместима с Win2k, с Win2k работает только русская версия.

       o Исправлена ошибка разбора состояния TCPIPv6 соединений.
       
    • demkd
      Если пишет что файлов нет то так оно и есть, по пути в принципе видно, что их там точно быть не может.
      Проблема же в том что при запуске под SYSTEM, API windows не способен правильно разбирать некоторые ярлыки, где не указан абсолютный путь, такие ярлыки меняют цель в зависимости от того под каким пользователем работает конкретный процесс, зачем это сделал microsoft для меня загадка.
      Единственное решение - это написать api для разбора любых ярлыков с нуля и добавить еще нехилую надстройку для анализа относительных путей в них, но это довольно сложная задача и на данный момент реализована лишь в малой части и скорее всего никогда не будет реализована на 100%.
      Потому если хочется удалить ссылки на отсутствующие объекты имеющие ярлыки то нужно запускаться под текущим пользователем, проблем будет меньше... если пользователь один Все системные файлы имеют внешнюю эцп и вполне определенные имена.
×