Найден способ обмана любых Windows-антивирусов

Как утверждают исследователи Якуб Бржечки и Давид Матоушек из команды веб-ресурса Matousek.com, им удалось создать способ обхода защиты, встроенной в большинство популярных настольных антивирусных продуктов. Уязвимы такие популярные продукты, как «Лаборатории Касперского», «Dr.Web», «Avast!», «Sophos», ESET, «McAffee», «Symantec», «Panda» и т. д.



Методика такова: на вход антивируса посылается безвредный код, проходящий все защитные барьеры, но, прежде чем он начнет исполняться, производится его подмена на вредоносную составляющую. Понятно, замена должна произойти строго в нужный момент, однако на практике все упрощается благодаря тому, что современные системы располагают многоядерным окружением, когда один поток не в состоянии отследить действия параллельных потоков. В итоге может быть обманут буквально любой «Windows-антивирус», сообщает "Компьюлента".

Руткит функционирует в том случае, если антивирусное ПО использует таблицу дескрипторов системных служб для внесения изменений в участки ядра операционной системы. Поскольку все современные защитные средства оперируют на уровне ядра, атака работает на 100 процентов, причем даже в том случае, если «Windows» запущена под учетной записью с ограниченными полномочиями.

Вместе с тем руткит требует загрузки большого объема кода на атакуемую машину, поэтому он неприменим, когда требуется сохранить скорость и незаметность атаки. Кроме того, злоумышленник должен располагать возможностью выполнения двоичного файла на целевом компьютере.

Методика может быть скомбинирована с традиционной атакой на уязвимую версию «Acrobat Reader» или «Sun Java Virtual Machine», не пробуждая подозрений у антивируса в истинности намерений. Ну а затем хакер волен и вовсе уничтожить все защитные барьеры, полностью удалив из системы мешающий антивирус.

Источник

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Kaspersky: Вымогатели атаковали 9 тыс. корпоративных компьютеров в России

По словам «Лаборатории Касперского», глобальная система информирования о киберугрозах Kaspersky Threat Intelligence зафиксировала 9 193 корпоративных компьютеров в России, ставших целью для операторов шифровальщиков. Эту цифру аналитики получили за период с января по июль 2021 года.

Чаще всего программы-вымогатели атакуют организации стран СНГ через протокол удалённого доступа (Remote Desktop Protocol, RDP). Задача злоумышленника — подобрать учётные данные и запустить шифровальщик вручную.

Также специалисты «Лаборатории Касперского» отметили, что большая часть подобных вредоносных программ распространяется по модели «вымогатель как услуга» (Ransomware-as-a-service, RaaS). В 2020 году число киберинцидентов с участием операторов шифровальщиков заметно выросло, а в 2021 году тренд продолжил своё развитие.

«Новые семейства программ-вымогателей появляются регулярно. Только за второй квартал 2021 года мы выявили 14 новых семейств этих вредоносов. Их операторы атакуют компании разного размера и уровня дохода, даже малый и средний бизнес находятся в зоне риска», — объясняет Владимир Кусков, возглавляющий отдел исследования сложных киберугроз «Лаборатории Касперского».

Напомним, что аналитики Group-IB выяснили, что более 77% российских предпринимателей не готовы платить выкуп операторам шифровальщиков. Причём большинство считает, что их компании недостаточно защищены от этой киберугрозы.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru