Новая атака работает на всех версиях Windows и обходит антивирусы

Новая атака работает на всех версиях Windows и обходит антивирусы

Новая атака работает на всех версиях Windows и обходит антивирусы

Сегодня на конференции по безопасности Black Hat Europe 2017, проходящей в Лондоне, два исследователя в области кибербезопасности компании enSilo описали новую технологию инъекции кода под названием «Process Doppelgänging». Эта вредоносная схема работает на всех версиях Windows, обходя большинство современных продуктов безопасности.

Process Doppelgänging напоминает другую технологию, получившую имя Process Hollowing, но с отличительным фактом использования механизма Windows NTFS Transactions.

Process Doppelgänging способна замаскировать загрузку модифицированного исполняемого файла. Благодаря использованию транзакций NTFS можно внести изменения в исполняемый файл. Затем можно будет использовать недокументированные детали реализации механизма загрузки процесса для загрузки нашего модифицированного исполняемого файла.

Результатом этой процедуры является создание процесса модифицированного исполняемого файла, при этом антивирусные программы даже не догадываются о том, что происходит что-то зловредное.

Исследователи объясняют, что вредоносный код, используемый Process Doppelgänging, не сохраняется на диске (бестелесный вредонос, fileless attack), что делает его невидимым для всех основных антивирусных продуктов.

Исследователи успешно протестировали свою атаку на продуктах следующих вендоров: Kaspersky, Bitdefender, ESET, Symantec, McAfee, Norton, Windows Defender, AVG, Sophos, Trend Micro, Avast и Panda.

В своих экспериментах исследователи использовали Process Doppelgänging для запуска Mimikatz, известной утилиты, используемой для кражи паролей.

«Обнаруженный нами способ позволяет запускать произвольный код, включая вредоносный, в контексте легитимного процесса на целевой машине. Для достижения этой цели мы используем транзакции NTFS. Мы перезаписываем законный файл в контексте транзакции. Для антивирусных продуктов все выглядит вполне нормально, так как вредоносный процесс будет выглядеть в точности как легитимный», — говорят эксперты enSilo Тал Либерман (Tal Liberman) и Юджин Коган (Eugene Kogan).

Хорошей новостью является тот факт, что реализация Process Doppelgänging имеет множество технических проблем, поэтому ее смогут осуществить только подкованные злоумышленники. Плохая же новость в том, что на данный момент эту брешь нельзя исправить.

 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

СКБ Контур запустил бренд «Контур.Эгида» для защиты от внутренних угроз

На форуме Positive Hack Days 2025 СКБ Контур запустил новый бренд — «Контур.Эгида». Под этим названием собрана линейка продуктов, которые отвечают за защиту от внутренних угроз.

Такой шаг в компании объясняют растущим интересом со стороны бизнеса к системной и при этом несложной в внедрении защите — особенно на фоне того, что до 75% утечек происходит по вине внутренних пользователей.

В состав «Контур.Эгида» вошли пять направлений:

  • ID — двухфакторная аутентификация;
  • PAM — контроль действий пользователей с повышенными правами;
  • Доступ — настройка устройств и управление парком техники;
  • Staffcop — анализ и расследование инцидентов, связанных с внутренними угрозами;
  • Безопасность — услуги по защите персональных и иных чувствительных данных.

По данным компании, с 2022 по 2025 год выручка от направлений, связанных с ИБ, в среднем росла на 36% в год. На фоне роста числа киберугроз, ухода иностранных вендоров и новых требований регуляторов бизнес, по словам представителей Контура, начал воспринимать ИБ не как техническую нагрузку, а как часть общей устойчивости и непрерывности процессов.

«Контур.Эгида» ориентирован в первую очередь на компании среднего размера — с численностью от 150 до 4500 сотрудников и выручкой от 1,5 до 70 млрд рублей. Это, как правило, региональные и федеральные компании без сложных требований к индивидуальной доработке. Для них предусмотрены готовые решения, которые можно внедрять без глубокой кастомизации и быстро масштабировать.

Отдельного юрлица под «Контур.Эгида» не создаётся — это направление внутри существующей структуры. Новый бренд должен стать точкой отсчёта для развития всей линейки внутренних ИБ-продуктов. Стратегическая цель — к 2027 году войти в топ-5 экосистем по информационной безопасности в России и достичь уровня компаний со выручкой от 5 до 10 млрд рублей.

Запуск «Контур.Эгида» стал логическим продолжением развития: ещё в 2021 году СКБ Контур приобрёл долю в компании «Атом Безопасности» (разработчике системы Staffcop), а в 2025 году стал её полным владельцем. Именно Staffcop и стал базой для формирования новой линейки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru