Microsoft устранила уязвимость в программном механизме Malware Protection Engine

Александр Панасенко 24 Февраля 2011 - 13:40

...

Microsoft выпустила патч для своего программного механизма выявления злонамеренного программного обеспечения. Ранее в сети появились данные, в которых говорилось, что из-за наличия бага в программном обеспечении Microsoft Malware Protection Engine злоумышленники могли получать несанкционированный доступ к системе.

Вчера корпорация обновила данный программный компонент, сообщив, что в продукте присутствовала возможность поднятия привилегий в обход легитимного механизма управления привилегиями в операционной системе, сообщает cybersecurity.ru. Вместе с тем, в Microsoft сообщили, что для успешной эксплуатации данного бага потенциальный атакующий уже должен был иметь доступ к системе пользователя. При помощи Malware Protection Engine он мог поднять свои привилегии до администраторского уровня.

В корпорации заявили, что у них нет данных, говорящих о том, что эксплоит Malware Protection Engine был использован кем-либо на практике, однако в компании не исключили, что эксплоит Malware Protection Engine может быть частью более сложного и многоходового злонамеренного программного обеспечения для получения контроля над Windows.

Впервые об уязвимости в Malware Protection Engine компания Argeniss заявила еще на июльской конференции Black Hat в прошлом году. Генеральный директор этой компании Сизар Церрудо сказал, что баг с Malware Protection Engine мог бы быть очень опасен, если бы не требовал предварительного доступа к системе. "Уязвимость может использоваться удаленно, например через сервер Internet Information Server, но атакующий вначале должен каким-то образом загрузить исполняемый код в директорию работы IIS. Если сайт под управлением данного сервера позволяет загружать файлы, то он находится под большим риском", - сказал он.

Согласно данным Microsoft, проблема была исправлена в Malware Protection Engine версии 1.1.6603.0, применяемом в Windows Live OneCare, Microsoft Security Essentials, Windows Defender, Forefront Client Security, Forefront Endpoint Protection 2010 и Microsoft Malicious Software Removal Tool.

Следующая главная новость »

DDoS 2026: атаки меняются — готова ли ваша защита?
Регистрируйтесь на эфир!

Екатерина Быстрова 25 Марта 2026 - 10:11

Бэкдоры Домашние пользователи Корпорации

Популярную ИИ-библиотеку LiteLLM заразили бэкдором через PyPI

В экосистеме ИИ-разработки всплыла неприятная история: исследователи из Endor Labs обнаружили, что популярная Python-библиотека LiteLLM, у которой больше 95 млн загрузок в месяц, была скомпрометирована в репозитории PyPI. Через заражённые версии злоумышленники распространяли многоступенчатый бэкдор.

Речь идёт о версиях 1.82.7 и 1.82.8. Причём в официальном GitHub-репозитории проекта такого вредоносного кода не было.

Проблема возникла именно в пакетах, опубликованных в PyPI: туда попал файл с закладкой, который декодировал и запускал скрытую нагрузку сразу после импорта библиотеки.

Во второй заражённой версии, 1.82.8, схема стала ещё жёстче. Пакет устанавливал .pth-файл в директорию site-packages, из-за чего вредоносный код мог запускаться вообще при любом старте Python, даже если сам LiteLLM никто не импортировал.

После запуска зловред начинал искать самое ценное: SSH-ключи, токены AWS, GCP и Azure, секреты Kubernetes, криптокошельки и другие конфиденциальные данные. Если заражение происходило в контейнерной или кластерной среде, вредонос пытался двигаться дальше по инфраструктуре, в том числе через развёртывание привилегированных подов на узлах Kubernetes.

Для закрепления на хосте атакующие, как сообщается, ставили systemd-бэкдор sysmon.service, который регулярно связывался с командным сервером и мог получать новые команды или дополнительные вредоносные модули.

Специалисты считают, что за атакой стоит группировка TeamPCP, которая в последнее время явно разошлась: до этого её уже замечали в инцидентах, затронувших GitHub Actions, Docker Hub, npm и OpenVSX.

Украденные данные, по информации исследователей, шифровались и отправлялись на сервер атакующих. Для маскировки использовались домены, внешне похожие на легитимные, например models.litellm[.]cloud и checkmarx[.]zone.

Сейчас разработчикам и DevOps-командам советуют как можно быстрее проверить окружение. Последней известной чистой версией LiteLLM считается 1.82.6. Если в системе использовались 1.82.7 или 1.82.8, нужно проверить наличие файла litellm_init.pth, артефактов вроде ~/.config/sysmon/sysmon.py и сервиса sysmon.service.

DDoS 2026: атаки меняются — готова ли ваша защита?
Регистрируйтесь на эфир!