Бэкдор Olyx: а тигр-то бумажный

Бэкдор Olyx: а тигр-то бумажный

Несколько дней назад антивирусные эксперты Microsoft напугали владельцев компьютеров Macintosh известиями о новом опасном бэкдоре, позволяющем удаленно контролировать операционные системы Mac OS. Вскоре последовала реакция со стороны разработчика защитных решений для продуктов Apple - компании Intego; ее аналитики убеждены, что и пугать-то здесь особенно нечем, не говоря уж о реальной опасности.


Специалисты из Редмонда получили файлы бэкдора в архиве с образцами различных инфекций (по некоторым данным, он был загружен в известный онлайн-сервис VirusTotal, откуда и отправился ко всем участвующим в работе VT производителям антивирусов). Вредоносный объект получил наименование "Olyx". Его изучение позволило установить, что он представляет собой компьютерный вирус для Mac OS, проникающий в систему и работающий в фоновом режиме без какой-либо потребности в привилегиях администратора.

Olyx притворяется служебным модулем к программному обеспечению Google; запускается он единожды при каждом входе нового пользователя в систему. После удачного запуска он устанавливает соединение с удаленным сервером, расположенным где-то в Южной Корее, и предоставляет своему хозяину возможность просматривать списки файлов и папок, а также загружать произвольные объекты как на компьютер, так и с него. В общем-то, кажется неудивительным, что Microsoft подняла тревогу.

Однако компания Intego, которая является довольно известным поставщиком антивирусных продуктов для операционных систем производства Apple, ничего сенсационного в Olyx не усмотрела. Ее аналитики заявили, что им этот бэкдор попался еще в конце июня сего года, решение VirusBarrier уже почти месяц как способно его обнаружить, и вообще никакой особенной угрозы эта вредоносная программа не несет.

Говоря о безвредности Olyx, эксперты Intego подразумевают, что он еще ни разу не был замечен в реальной вирусной среде в такой форме, которая позволяла бы ему эффективно распространяться. В текущем своем виде он напоминает скорее концепт, поразить которым систему не так просто: пользователю понадобится предпринимать сознательные усилия по его установке. В принципе его можно также подключить к другим образцам вредоносного программного обеспечения, заразить которыми компьютер проще, но, опять же, таких случаев в Intego еще не видели. Кроме того, "жуткий бэкдор" попросту не слишком грамотно построен и работает некорректно, т.е. его определенно писал не высококвалифицированный программист. Таким образом, подчеркивают аналитики, бояться тут особенно нечего, а Microsoft явно преувеличила степень опасности Olyx.

eWeek

Письмо автору

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Akamai раскрыла опасную дыру в Windows Server 2025 до выхода патча

Специалисты Akamai устроили шум в сообществе ИБ: они опубликовали полное техническое описание и PoC-эксплойт для уязвимости под кодовым названием BadSuccessor. Брешь способна привести к повышению привилегий в Windows Server 2025.

Суть в том, что с её помощью злоумышленник может получить полный контроль над любым пользователем в Active Directory, даже не будучи админом.

Исследователь Akamai Юваль Гордон сообщил, что Microsoft подтвердила баг, но присвоила ему «умеренную» степень опасности и отложила выпуск патча на неопределённое время. Akamai с этим категорически не согласна. По мнению Гордона, уязвимость серьёзнее, чем кажется.

BadSuccessor связана с новым типом аккаунтов в Server 2025 — delegated Managed Service Accounts (dMSA). Они должны были заменить устаревшие сервисные учётки, но получилось не очень: новая учётка может «наследовать» полномочия старой, и контроллер домена это спокойно принимает за чистую монету.

Гордон показал, как обычный пользователь с правами Create-Child в нужной OU может создать dMSA, который фактически будет обладать привилегиями другого пользователя. Без изменения групп, без записи в чувствительные объекты — просто два изменения атрибутов, и готово.

Почему это важно?

По данным Akamai, в 91% проверенных сред хотя бы один «неадмин» уже имеет права Create-Child в каком-нибудь OU — а этого вполне достаточно для атаки. При этом Windows Server 2025 по умолчанию включает поддержку dMSA, так что риски появляются сразу, как только вы добавляете новый контроллер в домен.

Akamai предупредила Microsoft о баге ещё 1 апреля. Ответ был: «да, уязвимость есть, но серьёзной мы её не считаем, спешить с патчем не будем». Это и стало последней каплей: в блоге компании появился полный разбор, примеры кода, рекомендации по логированию и скрипты для поиска уязвимых объектов.

Реакция сообщества — спорная

Публикация до выхода патча снова разожгла споры о правилах ответственного раскрытия. Одни исследователи критикуют Akamai за то, что они «слили» всё публично. Другие считают, что Microsoft слишком часто затягивает с устранением действительно опасных уязвимостей и по-другому с ней не получается.

Akamai в свою очередь говорит: BadSuccessor открывает совершенно новый, ранее неизвестный путь к компрометации AD-домена, и это нельзя игнорировать.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru