«Лаборатория Касперского» предупреждает о необходимости установить новое обновление для операционной системы Windows

«Лаборатория Касперского»,  предупреждает о необходимости установить обновление MS08-067 для операционной системы Microsoft Windows. Уязвимость, которую исправляет последнее обновление, представляет серьезную угрозу для многочисленных пользователей ПК.

Компания Microsoft объявила о выходе внеочередного обновления для операционных систем Microsoft Windows 2000, XP, Vista, Server 2003 и 2008. Для Microsoft Windows 2000, XP и Server 2003 обновление носит критический характер.

Необходимо отметить, что факт выхода внеочередного патча сам по себе уникален – последнее подобное обновление было весной 2007 года. В этот раз оно призвано избежать распространения через обнаруженную уязвимость потенциальных вредоносных червей, которые могут быть созданы злоумышленниками в ближайшие дни, а также исключить риск хакерских атак, связанных с уязвимостью.

По сведениям «Лаборатории Касперского», эта брешь схожа с критическими уязвимостями Microsoft Windows, обнаруженными в 2003-2004 гг., приведшими к массовым вирусным эпидемиям таких опасных сетевых червей, как LoveSan, Sasser и Rbot.

Уже известно, что существует вредоносная программа Trojan-Spy.Win32.Gimmiv.a, которая распространяется благодаря описанной уязвимости. Этот троянец был добавлен в антивирусные базы «Лаборатории Касперского» в ночь на 24 октября, и представляет собой программу-шпиона, нацеленную на кражу паролей пользователей. По данным экспертов «Лаборатории Касперского», оперативно осуществивших анализ данной троянской программы, она имеет китайское происхождение. Кроме того, обнаруженная уязвимость в операционной системе Microsoft Windows позволяет злоумышленникам удаленно получать полный контроль над компьютером пользователя.

«Лаборатория Касперского» рекомендует всем пользователям установить обновление MS08-067 как можно быстрее, и напоминает, что гарантией надежной защиты в таких случаях может служить лишь своевременное обновление операционной системы и использование эффективных решений для защиты от вредоносных программ и хакерских атак.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Инъекция кода в процессы по методу Pool Party обманет любую EDR-систему

Эксперты SafeBreach разработали метод внедрения кода в память процессов, использующий пулы потоков Windows для сокрытия его исполнения. Тестирование показало, что атаку Pool Party не способны выявить даже лидеры рынка EDR-решений.

Инъекция кода в процессы позволяет злоумышленникам обойти антивирусы: такие заражения не оставляют в системе следов в виде файлов, которые можно было бы проанализировать. В последние годы многие вендоры ОС и EDR усилили защиту от подобных атак за счет блокировки известных техник либо жесткого ограничения последствий.

Чтобы понять, каким образом бестелесный зловред сможет обойти EDR, исследователям пришлось изучить современный подход к детектированию таких угроз ИБ-продуктами этого класса. Как оказалось, они производят оценку по примитиву выполнения — лишь одному элементарному действию из трех, необходимых для инъекции в процесс (еще выделение блока памяти и запись туда кода).

 

Это открытие подсказало экспертам, как скрыть бесфайлового зловреда от EDR: создать примитив выполнения, основанный лишь на allocate и write, а в качестве триггера шелл-кода использовать легитимное действие — например, запись в безобидный файл.

Прекрасным кандидатом для такого трюка оказался пул потоков режима пользователя в Windows, а точнее, четыре компонента: фабрика рабочих ролей, управляющая рабочими потоками, и три очереди.

По результатам исследования были созданы восемь разных техник инъекции кода; одна использует подпрограмму запуска фабрики ролей, другая — очередь задач, еще пять — очередь завершения ввода-вывода, а восьмая — очередь таймера. Поскольку пул потоков совместно используется процессами Windows, метод Pool Party работает на любом из них.

Для тестирования были выбраны пять EDR-решений:

  • Palo Alto Cortex,
  • SentinelOne EDR,
  • CrowdStrike Falcon,
  • Microsoft Defender for Endpoint,
  • Cybereason EDR.

Во всех случаях эффективность Pool Party (всех восьми вариантов) составила 100%, то есть ни один защитный продукт не смог обнаружить или предотвратить инъекцию. Вендоры уже поставлены в известность.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru