До сих пор многие пользователи наивно думают, что антивирус — это обязательный атрибут любого персонального компьютера. Благодаря этому заблуждению в мире продаётся антивирусных программ на миллиарды долларов.
Есть специалисты, которые не согласны с этим утверждением. Среди них ведущий разработчик Google по информационной безопасности Даррен Билби (Darren Bilby). О бесполезности антивирусного ПО он рассказал во вступлении к своему докладу на конференции, где все присутствующие знают о бесполезности антивирусов — на хакерской конференции Kiwicon X. То есть Даррен просто начал доклад с общеизвестного (в узких кругах) факта, который не принято афишировать для широкой публики.
В компании Google Билби руководит сиднейским коллективом специалистов по безопасности Platform Integrity, который входит в группу Enterprise Infrastructure Protection Group. За последние десять лет он выполнял разную работу в Google, в том числе был техническим руководителем группы Global Incident Response по реагированию на взломы корпоративной сети, менеджером европейского отдела по обнаружению вторжений, до этого — разработчиком программного обеспечения и тестером ПО. До работы в Google специализировался на консалтинге в области информационной безопасности. Этот человек знает, о чём говорит.
Большой доклад Даррена Билби называется «Защита Гибсона в эпоху Просвещения» и был посвящён не только фейлу антивирусного ПО, но и другим бесполезным методам информационной безопасности. Особенно очевидно это стало в 2016 году, когда взломанные почтовые ящики стали ключевой темой предвыборных президентских дебатов, трояны-вымогатели шифруют файлы на корпоративных компьютерах, а «тостеры контролируют большие участки интернета» (возможно, под «тостерами» Даррен имеет в виду видеокамеры наблюдения, которыми недавно заддосили одного из крупнейших DNS-провайдеров в интернете),
Появляются новые векторы эффективных атак, о чём рассказывают на конференциях. Даже на Youtube можно найти видеоинструкции, как поставить трояна на компьютер под Windows, если у жертвы не установлены последние обновления безопасности. Не говоря уже о разных методах социальной инженерии.
И что противопоставляет этим методам кибератак жирная индустрия компьютерной безопасностью стоимостью $81 млрд? Ничего нового, всё те же убогие и неэффективные старые инструменты, констатирует Билби. По его мнению, продавцы таких решений просто «впаривают магию», вешая лапшу на уши наивных покупателей. В числе обманутых — и корпоративные клиенты, и обычные пользователи. Проблема даже хуже. Специалисты по безопасности в компаниях часто вынужденыустанавливать неэффективные системы безопасности, чтобы соблюсти требования регулирующих органов.
Вполне возможно, что упоминая «магию», Билби ссылался на статью Джеймса Микенса из Microsoft. Тот сравнивал ситуацию в компьютерной безопасности с бинарной системой такого типа:
Защита от девушки, которая лезет в ваш аккаунт? Сильный пароль
Защита от организованной преступной группы, которая пытается получить доступ к вашей информации? Сильный пароль и здравый смысл (то есть не щёлкать по фишинговым ссылкам, не устанавливать чужие флэшки, обновлять софт и т.д.)
Защита от Моссада? Магические амулеты? Симулировать смерть, скрыться на подводной лодке? НО МОССАД ВСЁ РАВНО ТЕБЯ НАЙДЁТ
То есть налицо бинарная логика: или нам достаточно просто сильного пароля и здравого смысла, или мы используем магические амулеты.
«Пожалуйста, не нужно больше магии, — призывает специалист по безопасности из Google. — Нам нужно прекратить тратить силы на эту ерунду, которая очевидно не работает».
В числе неэффективной «магии» Билби называет и системы обнаружения вторжений, и антивирусные программы. Вместо этого он предлагает сфокусироваться на фаерволах по белым спискам, аппаратных ключах и системах динамического контроля прав, как во внутреннем проекте BeyondCorp компании Google.
В принципе, точка зрения Баррена Билби не нова. Специалисты по безопасности давно говорят о неэффективности антивирусов. Нормальному пользователю антивирус не нужен, потому что у него хватает ума, чтобы не ходить на сомнительные сайты и не открывать файлы из непровeренных источников, так что типичные пути заражения у них не работают, а именно эти пути находятся в фокусе внимания антивирусов.
Антивирусы зачастую бесполезны и для корпоративных пользoвателей. Причина в том, что если кто-то действительно поставит цель атаковать компанию, то он зaранее проверит свой метод на большинстве антивирусных продуктов и убедится, что они не обнaружат угрозы. Есть удобный сайт VirusTotal, кoторый позволяет проверить свой вредоносный файл всеми популярными антивирусами.
«Да, антивирус делает что-то полезное, но в реальности он похож на канарейку в угольной шахте. Даже хуже. Это как будто мы собрались вокруг мёртвой канарейки и говорим с облегчением: „Слава богу, что она вдохнула весь ядовитый газ”».
Любите красивые анимированные обои для новой вкладки Chrome? Есть плохие новости. Исследователи из Unit 42 обнаружили масштабную кампанию Gameograf, в рамках которой более 50 расширений для браузера маскировались под безобидные инструменты с живыми обоями, а на деле превращали браузер в рекламную площадку злоумышленников.
По оценкам специалистов, жертвами схемы стали около 30 тысяч пользователей.
Расширения распространялись через Chrome Web Store и сторонние сайты, посвящённые обоям, темам оформления и кастомизации браузера. Пользователям обещали эффектные анимированные фоны и стильные новые вкладки, но после установки начиналось совсем другое шоу.
Получив необходимые разрешения, расширения принудительно открывали новые вкладки, перенаправляли пользователей на рекламные страницы и загружали контент с серверов операторов кампании.
Причём большая часть логики работала удалённо: злоумышленники регулярно подгружали HTML-код и настройки со своей инфраструктуры, не публикуя новые версии расширений в магазине Chrome.
Фактически операторы могли в любой момент менять рекламу, ссылки, всплывающие окна и сценарии перенаправления.
Особую тревогу исследователей вызвал механизм удалённой загрузки HTML-контента без какой-либо фильтрации. Сегодня через него показывается реклама, а завтра ту же схему можно использовать для фишинга, поддельных окон авторизации или доставки других вредоносных компонентов.
Для дополнительной маскировки расширения регулярно очищали локальные базы данных браузера IndexedDB. Это помогало сбрасывать состояние и затрудняло анализ происходящего.
Основными жертвами кампании стали обычные пользователи, геймеры и поклонники популярных игровых и медиафраншиз, которые искали тематические обои для браузера.
В результате пользователи сталкивались с навязчивой рекламой, постоянными редиректами, самопроизвольным открытием вкладок и ухудшением производительности браузера.
Эксперты рекомендуют проверить список установленных расширений и удалить подозрительные дополнения с живыми обоями или кастомными стартовыми страницами. Особенно если они требуют широкие разрешения и активно взаимодействуют с внешними сайтами.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
