Обнаружен новый вид веб-атак

Пользователи сразу нескольких интернет-форумов сообщили об обнаружении новой и довольно странной атаки, заключающейся в отравлении буфера обмена операционной системы. Атака является универсальной и ей подвержены пользователи всех современных настольных операционных систем, имеющих графический интерфейс.

Атака направлена на такую популярную функцию как "копировать/ставить" (copy/paste): при помощи веб-скритов злоумышленники "подселяют" в буфер обмена операционной системы ссылку или ссылки на злонамеренный сайт с размещенным хакерским ПО.

Опасность данного вида атаки заключается, во-первых, в новизне самого вида нападения - очень многие работают с буфером обмена операционных систем "на автомате", не обращая внимание на то, что в его содержимом могут происходить обновления. Во-вторых, ссылка на злонамеренный сайт остается в буфере до момента перезагрузки компьютера, наконец в-третьих, атака совершенно универсальна - ей подвержены как пользователи Windows, так и сторонники Linux и Mac OS.

Пока большая часть пользователей, которые уже подверглись отравлению буфера обмена сообщают, что подавляющее большинство ссылок, вставляемых в буфер, ведет на сайт xp-vista-update.net.

Эксперты по антивирусной безопасности говорят, что в данный момент они пытаются разобраться с сутью атаки и ее источником. Тем же, кто не хотел бы получать в буфер обмена злонамеренные ссылки предложено отключить в настройках браузера возможность исполнения JavaScript.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Windows 11 добавят SMB-подпись для борьбы с атаками на NTLM-ретранслятор

Microsoft планирует сделать обязательной SMB-подпись для всех соединений по умолчанию, чтобы бороться с векторами атак, использующими ретрансляцию NTLM (NTLM relay). Соответствующие изменения уже внесены в тестовый билд Windows Enterprise, который вышел на канале Canary.

NTLM-атаки примечательны тем, что злоумышленники заставляют сетевые устройства (включая контроллеры домена) аутентифицироваться на вредоносных серверах, находящихся в руках атакующих.

Такой подход позволяет киберпреступникам повысить права и добиться полного контроля над Windows-доменом.

В 2021 году Microsoft объясняла, как снизить риски и не стать жертвой атаки PetitPotam. Именно PetitPotam использовала ретрансляцию NTLM (NTLM relay). Годом позже, в середине 2022-го, корпорация без лишнего шума устранила баг ShadowCoerce (тоже атака на NTLM-ретранслятор).

«Нововведения помогут нам избавиться от устаревшего подхода, при котором Windows 10 и 11 запрашивали SMB-подпись только при подключении к расшаренным ресурсам с именами SYSVOL и NETLOGON», — пишет Microsoft.

Механизм подписи поспособствует блокировке вредоносных запросов аутентификации, поскольку будет подтверждать легитимность как отправителя, так и получателя. Серверы, на которых подпись SMB отключена, будут выдавать ошибки: «Криптографическая подпись некорректна», «STATUS_INVALID_SIGNATURE», «0xc000a000», или «-1073700864».

Тем не менее есть и небольшой минус: новые защитные функции могут сказаться на производительности. Например, администраторы в теории столкнутся со снизившейся скоростью SMB-копирования.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru