11 мифов о компьютерной безопасности

...

G Data Software провела исследование в 11 странах, посвященное мифам об информационной безопасности. Оно продемонстрировало, что в России пользователи знают меньше всего о вирусах и способах их распространения.



Ежедневно средства массовой информации сообщают о новых атаках, направленных на пользователей Интернета, о хищении данных, новых компьютерных вредоносных программах и структурах киберпреступных картелей. Это еще раз доказывает необходимость защиты информации. Но хорошо ли пользователи информированы об интернет-угрозах и алгоритме действий преступников?

Компания G Data Software провела глобальное исследование, которое помогло опровергнуть известные мифы и подкрепить свои доказательства реальными фактами об Интернет-угрозах. В апреле-мае этого года G Data провела опрос среди 15 556 интернет-пользователей в возрасте от 18 до 65 лет в 11 странах. В Российском опросе приняли участие 1 085 респондентов. Участники отвечали на вопросы на тему онлайн-угроз в Интернете, поведения во время интернет-серфинга, использования решений безопасности, а также понимания собственной безопасности в Интернете.

Признак заражения ПК
Почти все участники опроса имеют общее представление о том, что угрозы поджидают пользователей в сети Интернет. Но зачастую их суждения основаны на мифах. Например, 97,88 % процентов россиян уверены в том, что они заметят, если их компьютер будет заражен. По мнению опрошенных, такое заражение проявляется в виде подозрительных всплывающих окон, при ощутимом замедлении работы компьютера или в полном её прекращении.

Это всего лишь миф, так как преступники заинтересованы в краже информации и денег, а значит, пользователь не должен знать о заражении как можно дольше. В прошлом вредоносные программы создавались разработчиками для того, чтобы доказать свои технические способности, сейчас они предпочитают скрываться от жертв и антивирусов.

Как правило, вся персональная информация (данные кредитной карточки, банковские данные, данные доступа к онлайн-магазинам и электронной почте) незаметно воруются при первом заражении. За этим обычно следует подключение компьютера к ботсетям для того, чтобы использовать их в качестве распространителей спама или DDoS-атак на форумах.

Откуда берутся вирусы?
Во время опроса респондентам было предложено несколько суждение о наиболее распространенных способах проникновения вирусов в компьютер жертвы. Им были предложены суждения, с которыми они могли согласиться или не согласиться.

• 38,8 % — по электронной почте (самый низкий показатель среди всех опрошенных стран).
• 49,49 % — посредством зараженных файлов на файлообменниках, таких как одноранговые сети и торренты.
• 30,05 % — через USB-накопители (самый высокий показатель по миру).
• 42 % — при загрузке зараженного веб-сайта.

Процентное соотношение ответов показывает, что информация пользователей давно устарела. Распространение вирусов по электронной почте уже не является лидером (пользовали стали более внимательны к вложениям и ссылкам в письмах). Файлообменники также могут быть опасны, но они не лидируют в списке опасных хранителей вирусов. Утверждение о USB-накопителях было актуально в 80-90 годы прошлого века. Большинство вредоносных программ распространяется через вредоносные веб-сайты, хотя в обратном уверены 48,48 % опрошенных россиян. А 11,89% уверены, чтобы если не открывать зараженные файлы, но нельзя заразить свой ПК. И это шокирует!

Бесплатное и платное антивирусное ПО
Миф о том, что бесплатное и платное ПО одинаково защищают компьютер от вирусов, поддерживают 83,78% россиян. Хотя 56% на вопрос о разнице между бесплатным и платным защитном ПО выразили сомнение относительно того, что качество обоих видов защитного ПО сравнимо. 15% не имели никакого понятия, насколько бесплатные продукты безопасности проигрывают платным в отношении эффективности.

Большая разница между платным и бесплатным ПО определяется тем, какие технологии безопасности включает в себя это ПО. Платное ПО, помимо антивируса, содержит http-фильтр, брандмауэр, антиспамовый модуль и функцию поведенческого распознавания вредоносных кодов. Это было известно только 17% участников опроса.

Опасные сайты: порно или конная езда?
60,18% россиян уверены, что вероятность встретить вредоносное ПО на порно сайтах выше, чем на любительских страничках посвященных, например, конному спорту. Это самый высокий показатель среди 11 опрошенных стран. В Нидерландах, например, он не превышает 25,8%.

Действительно, порнография имеет сомнительную репутацию, и это объясняет настороженность пользователей при посещении подобных сайтов. Но на практике это еще один миф. На порносайтах крутится много денег, а поэтому владельцы сайтов заинтересованы в безопасном серфинге своих посетителей, которые с большой вероятностью вернутся на тот же сайт в случае отсутствия проблем с платежами. Так работаю профессионалы. В то же время владелец сайта, посвященного его хобби, вряд ли является профессиональным веб-дизайнером, и поэтому вряд ли регулярно обновляет необходимое программное обеспечение и патчи для того, чтобы закрыть уязвимые места безопасности.

«Из данного исследования можно сделать положительный вывод — большинство интернет-пользователей в России, независимо от возраста и пола, знают о существенной опасности при серфинге в сети Интернет. Но, к сожалению, этих знаний явно недостаточно или они уже устарели, — рассказывает Роман Карась, управляющий продажами в ритейле G Data Software в России и СНГ. — Лишь немногие смогли правильно указать опасности, которые существуют в Интернете, лишь подтвердив расхожие мифы. Также Россия занимает последнюю строчку в рейтинге ложных мифов. Самой «просвещенной страной» стала Германия, затем следуют Нидерланды и Франция. Поэтому нашей задачей является не только предложение россиянам лучших антивирусных программ, но и повышение грамотности населения в области IT безопасности».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Уязвимости MagicDot в Windows открывают дорогу руткитам

Некорректные DOS-пути в номенклатуре имен файлов в Windows могут быть использованы для сокрытия вредоносного содержимого, файлов и процессов. Исследователь из SafeBreach Ор Яир обозначил проблему, связанную с процессом преобразование DOS-пути в NT-формат в Windows.

Злоумышленники получают руткит-возможности для скрытия своих вредоносных действий, что представляет огромный риск для предприятий.

Ор Яир сделал акцент на четырёх уязвимостях, связанных с проблемой, которую исследователь назвал "MagicDot". Группа проблем MagicDot существует из-за того, что Windows заменяет пути DOS на пути NT.

Для того чтобы пользователь смог открыть файл или папку на своём компьютере, Windows использует путь, по которому существует файл. Таким путём обычно является путь DOS, который представлен в формате "C:\Users\User\Documents\example.txt". Однако для выполнения операции открытия файла используется другая базовая функция под названием NtCreateFile. Именно она запрашивает путь NT, а не DOS. Поэтому Windows преобразует привычный путь DOS, видимый пользователям, в путь NT, прежде чем вызвать NtCreateFile для выполнения операции.

В процессе преобразования путей, Windows автоматически удаляет все точки и лишние пробелы в DOS-пути, из-за чего и возникает проблема.

DOS-пути выглядят следующим образом:

  • C:\example\example.
  • C:\example\example…
  • C:\example\example<пробел>    

Все они преобразуются в "\??\C:\example\example" в качестве NT-пути.

Ор Яир указал, что автоматическое удаление символов даёт возможность киберпреступникам создавать специально разработанные пути DOS, которые будут преобразованы в NT-пути по их выбору для сокрытия вредоносного содержимого или действий либо для приведения файлов в негодность. 

Ряд техник постэксплуатации могут быть применены злоумышленниками из-за проблем “MagicDot”, которые позволят хакерам сохранить скрытность.

Исследователь рассказал, что, поставив простую точку в конце имени вредоносного файла или назвав файл или каталог только точками и/или пробелами, злоумышленник может сделать недоступными для пользователя и администратора все программы, использующие обычный интерфейс.

В ходе сессии Ор Яир добавил, что техника может быть использована для сокрытия файлов или каталогов внутри архивов. Достаточно лишь завершить имя файла в архиве точкой, чтобы Explorer не смог его просмотреть или извлечь.

Третий метод атаки предполагает маскировку вредоносного содержимого под законные пути к файлам.

Специалист пояснил, что при существовании безобидного файла под названием "benign" в каталоге, хакер, используя преобразование путей из DOS в NT, может там же создать вредоносный файл под таким же названием.

Этот подход может использоваться для имитации папок и даже более широких процессов Windows. В результате, когда пользователь читает вредоносный файл, вместо него возвращается содержимое исходного безвредного файла, и жертва даже не подозревает, что на самом деле открывает вредоносный контент.

Исследователь сообщил, что данные манипуляции с путями MagicDot могут предоставить злоумышленникам руткит-способности без прав администратора и без вмешательства в цепочку вызовов API.

Киберпреступники получают возможность скрывать файлы и процессы, прятать файлы в архивах, влиять на анализ файлов с предварительной выборкой, заставлять пользователей диспетчера задач и Process Explorer думать, что файл зловреда является проверенным исполняемым файлом, опубликованным Microsoft, выводить из строя Process Explorer с помощью уязвимости отказа в обслуживании (DoS) и многое другое.

Ор Яир предупредил о значимости угрозы в мире кибербезопасности и напомнил о важности разработки методов и правил обнаружения непривилегированных руткитов.

Исследователь в области безопасности Ор Яир обнаружил в ходе своего исследования путей  "MagicDot" четыре различные уязвимости, связанные с основной проблемой. Три из них уже исправлены Microsoft.

С помощью уязвимости удаленного выполнения кода (RCE) (CVE-2023-36396, CVSS 7,8) в новой логике извлечения архивов Windows для всех новых поддерживаемых типов архивов злоумышленники создают вредоносный архив, который после извлечения записывается в любое место на удаленном компьютере, что приводит к выполнению кода.

В интервью Dark Reading Ор Яир рассказывает, что, например, пользователь скачивает архив с GitHub, который не является исполняемым файлом, и извлекает его, что считается совершенно безопасным действием. Но теперь само извлечение может запустить код на компьютере.

Следующий баг — это уязвимость повышения привилегий (EoP) (CVE-2023-32054, CVSS 7,3), которая позволяет злоумышленникам записывать в файлы без привилегий, манипулируя процессом восстановления предыдущей версии из теневой копии.

Третья уязвимость — это непривилегированный DOS для антианализа Process Explorer, для которого зарезервирован CVE-2023-42757.

Последний баг, относящийся к EoP, позволяет непривилегированным злоумышленникам удалять файлы. Компания Microsoft подтвердила, что такая уязвимость существует, но пока не исправила её.

Представленные исследователем уязвимости компания Microsoft устранила, но всё же автоматическое удаление точек и пробелов при преобразовании путей из DOS в NT сохраняется. А именно это и является первопричиной уязвимости.

Ор Яир объяснил, что это создает потенциал для обнаружения новых уязвимостей и техник постэксплуатации, которые могут быть гораздо опаснее нынешних.

Проблема актуальна не только для Microsoft, но и для всех производителей программного обеспечения.

Специалист порекомендовал разработчикам программного обеспечения использовать NT-пути вместо DOS, так как они позволяют избежать процесса преобразования и гарантируют, что предоставленный путь — это тот же путь, который используется на самом деле.

На предприятиях же отделам по безопасности следует разработать средства обнаружения неправомерных точек и пробелов в путях к файлам.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru