UAC и неравная борьба с вирусами. Кто кого?

 UAC и неравная борьба с вирусами. Кто кого?

Очень важно обеспечить возможность передачи привилегированных прав (и потенциально опасных) только тому программному обеспечению, которое обоснованно требует их предоставления. Механизм UAC, существующий в операционных системах Windows Seven и Vista, позволяет пользователям запускать программы с административными полномочиями только при неизбежной необходимости для задач администрирования компьютера. 

Контроль учетных записей (UAC) был, вероятно, первой новой функцией Windows Vista, встречу с которой  не смогли избежать большинство пользователей, и которая благодаря этому получила значительное внимание сразу после релиза операционной системы, рассказывает блог Microsoft по безопасности.  Со временем, особенно с выпуском Windows 7, количество сценариев работы UAC, требующих реакции пользователя, было уменьшено. Многие считают запросы, поступающие от контроля учетных записей назойливыми, но абсолютно ясно -  больше всех функцию UAC ненавидят именно авторы вредоносного программного обеспечения.

Когда функция UAC был представлена, вердикт авторов вредоносного программного обеспечения был удивительно единодушным – обойти стороной. Внедрение контроля учетных записей стало принципиальным изменением по сравнению с Windows XP, и на всех подпольных форумах о вредоносном программном обеспечении указанный подход считался универсальным. Просто вместо запуска вируса с правами администратора из расположений доступных с правами администратора теперь приходилось запускать его в пользовательском профиле с пользовательскими же правами. К сожалению, это совершенно не было проблемой для вирусописателей. Однако для вредоносного программного обеспечения действительно становилось очень трудным заполучить права администратора, что и было целью создания UAC, большинство вредоносного программного обеспечения пыталось обойти эту проблему стороной.

В то время как тактика обхода UAC остается популярной, Microsoft Malware Protection Center обнаружил целый класс  вредоносного программного обеспечения, которое стремится к тому чтобы отключить контроль учетных записей в принципе. Вирусное ПО делает это, чтобы препятствовать обнаружению пользователем запуска вредоносных модулей благодаря запросам UAC после каждой перезагрузки. Семейство вирусов Sality, руткиты Alureon, поддельные антивирусы вроде FakePAV, распространяющиеся через уязвимости автозапуска черви и банковское трояны Bancos - все они имеют модификации, выключающие UAC. Со временем это стало настолько распространенным приемом, что в антивирусном ПО Microsoft Security Essentials, Windows Intune, и Forefront Endpoint Protection было внедрено использование поведенческого мониторинга, чтобы обнаруживать программы, которые пытаются управлять настройками UAC, и Microsoft Malware Protection Center регулярно регистрирует совершенно новое вредоносное программное обеспечение, запрещающее UAC.

Ключевым моментом является то, что для успешного отключения UAC вирусной программе необходимо добраться до административных полномочий, что достигается либо эксплуатацией уязвимости системного сервиса, работающего в привилегированном режиме, для которого UAC уже не актуален, или применением социальной инженерии, заставляя пользователей верить в безвредность приложения и разрешать его запуск. К сожалению, многие пользователи Windows отключают UAC сами. В то время как авторы вирусов всеми силами стараются избежать срабатывания UAC, легитимный софт так же совершенствуется в направлении уменьшения количества сценариев работы, требующих повышения привилегий, таким образом количество запросов, поступающих от UAC сейчас достигло своего минимума, что позволяет легко отслеживать любую действительно подозрительную активность.

В ниже приведенном списке мы можем наблюдать 5 наиболее популярных угроз, поразивших компьютеры с отключеным контролем учетных записей пользователей. Например, черьв Rorpian может эксплуатировать уязвимость в службе сервера разрешения доменных имен (DNS SS), что дает доступ к правам администратора и возможности отключить контроль учетных записей. А такие программы, например, как SideTab и OneScan, наоборот, используют технологии "социальной инженерии", чтобы добиться повышения привилегии и затем опять же отключить UAC.

Угроза, поразившая компьютер  Как часто UAC отключена
Worm:Win32/Rorpian.gen!A 95%
Worm:Win32/Rorpian.E!lnk 92%
Worm:Win32/Rorpian.E!inf 92%
Adware:Win32/SideTab 82%
Rogue:Win32/Onescan 68%


Ежедневно 23% компьютеров, антивирусное ПО которых сообщило серверам статистики о обнаружении заражения, работают с отключенным контролем учетных записей. В то время когда некоторые вирусы целенаправленно отключают UAC, другие гораздо менее успешны в своей вредоносной деятельности если UAC находится в активном состоянии.

Для того, чтобы избежать угрозы отключения управления учетными записями пользователя, необходимо постоянно обновлять программные обеспечения и антивирусные программы, что позволит защитить компьютер от нежелательных вирусов. Если вы обнаружили вирус, зайдите в панель управления и убедитесь, что функция UAC включена. Если она отключена, то включите её, это легко сделать. В последствии изредка вы будете видеть запросы на подтверждение повышения привилегий приложения, в случае возникновения сомнении просто выбирайте вариант "нет".

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Слишком данные: Госдума начала менять ФЗ-152

О том, что у кого-то есть дом, квартира или вилла, можно будет узнать только в том случае, если этот «кто-то» согласится сам. Такой порядок предусматривает новая редакция закона «О персональных данных» — поправки накануне были приняты Госдумой в первом чтении.

Среди авторов законопроекта — депутаты-единороссы Александр Хинштейн, Андрей Луговой, Сергей Боярский и сенатор Андрей Клишас.

В новой версии закон фактически засекречивает сведения из Единого государственного реестра недвижимости (ЕГРН). Авторы предлагают раскрывать информацию из ЕГРН третьим лицам только с письменного согласия владельца недвижимости.

Сейчас собственник, который не желает, чтобы данные о квартире были переданы третьим лицам, должен написать отказ в их предоставлении. 

Новые поправки предлагают считать такой запрет автоматическим. Для того чтобы информация о квартире или доме стала доступна, продавец должен написать специальное согласие.

 «В результате банки и потенциальные покупатели смогут получить подтверждение, что продавцу действительно принадлежит продаваемая недвижимость, только если он того пожелает — способов заставить его это сделать не существует», — объясняет «Ъ» глава Национальный совет финансового рынка Андрей Емелин глава НСФР.

НСФР уже направил в Минцифры письмо с предложениями доработать законопроект ко второму чтению. Банки жалуются на избыточную нагрузку, которая свалится на финансовые организации. Если закон примут в таком виде, в Роскомнадзор придется сообщать о каждом трансграничном денежном переводе и письме за границу.

Оператор будет «обязан уведомить уполномоченный орган» о намерении выполнить трансграничную передачу персональных данных, то есть до самой передачи.

Как пояснил «Ъ» глава НСФР Андрей Емелин, это означает, что практически любое действие любого лица, приводящее к трансграничной передаче любых персональных данных, потребует предварительного письменного уведомления Роскомнадзора с указанием восьми видов сведений.

Это коснется любого перевода денег за границу, поскольку получателю передаются персональные данные отправителя.

В письме НСФР отмечается, что эти нормы «в существенной степени ограничивают возможности оказания финансовых услуг (например, расчетные операции, сделки на финансовых рынках) и реализации внутренних контрольных процедур, корпоративного управления и контроля в отношении обществ, находящихся за рубежом, требующих трансграничной передачи персональных данных и т. п.».

Как пояснил источник «Ъ» на банковском рынке, в Роскомнадзор придется сообщать о каждом новом сотруднике банка, участвующем в обработке персональных данных. Более того, в перечень попадает весь персонал сторонних компаний, которых банк привлекает к операциям, например, колл-центры.

Что еще нового: 

  • Законопроект требует от операторов обработки персональных данных незамедлительно сообщать о кибератаках и утечках
  • Операторы обязаны «непрерывно взаимодействовать» с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы России
  • В три раза — с 30 до 10 дней — сокращается срок исполнения запросов, связанных с незаконной обработкой персональных данных
  • Вводится обязанность операторов ПДн прекратить дальнейшую обработку персональных данных по требованию владельца в 30-дневный срок

Тема «персональных данных» в повестке Госдумы звучит на этой неделе второй раз. Накануне в окончательном, третьем, чтении был принят проект закона, по которому продавцов товаров и услуг будут штрафовать за незаконный сбор ПДн. Должностным лицам будет грозить штраф от 5 тысяч до 10 тысяч рублей, а юридическим — от 30 тысяч до 50 тысяч рублей.

Закон вступает в силу с 1 сентября 2022 года.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru