Защиту от вымогателей в Windows 10 можно обойти инъекцией DLL в Explorer

Олег Иванов 09 Октября 2018 - 13:03

Домашние пользователи

...

На конференции DerbyCon, прошедшей на прошлой неделе, исследователь в области безопасности рассказал о методе инъекции DLL, который может использовать вредоносная программа для обхода защитной функции Controlled Folder Access («контролируемый доступ к директориям»), которую Microsoft внедрила в Windows 10 для борьбы с вымогателями.

Интересным методом обхода защитной функции поделился Соя Аояма, исследователь безопасности в компании Fujitsu System Integration Laboratories. Способ заключается в инъекции вредоносной DLL-библиотеки в Explorer на этапе запуска процесса.

Нетрудно догадаться, что Explorer по умолчанию находится в белом списке для функции Controlled Folder Access. Следовательно, внедренная в него DLL получит возможность обойти эту защиту операционной системы.

Аояма объясняет, что при запуске процесса explorer.exe он будет загружать библиотеки, которые перечислены в ключе реестра HKEY_CLASSES_ROOT\*\shellex\ContextMenuHandlers.

По умолчанию explorer запускается и загружает Shell.dll из ключа HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{90AA3A4E-1CBA-4233-B8BB-535773D48449}\InProcServer32. Чтобы загрузить вместо этого вредоносную библиотеку, Аояма просто создал ключ HKCU\Software\Classes\CLSID\{90AA3A4E-1CBA-4233-B8BB-535773D48449}\InProcServer32 и указал в качестве значения злонамеренных файл.

Теперь, если процесс Explorer.exe завершить, а затем перезапустить, вредоносная DLL запустится внутри процесса проводника.

Мало того, что эта техника позволяет обойти Controlled Folder Access, она также остается незаметной для Защитника Windows (Windows Defender). Согласно тестам, которые провел Аояма, инъекцию также не заметили и Avast, ESET, Malwarebytes Premium и McAfee. У них у всех есть защита от вымогателей.

Ниже можно посмотреть видео выступления Аоямы на конференции:

Напомним, что в феврале также сообщалось, что Controlled Folder Access можно обойти. Однако там описывался другой способ.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Екатерина Быстрова 30 Ноября 2021 - 10:20

Уязвимости программ Домашние пользователи Корпорации

В Zoom нашли две уязвимости, получивших 7,3 балла по шкале CVSS

Исследователи из Google Project Zero сообщили об очередных проблемах в безопасности, выявленных в Zoom, популярном софте для видеоконференций. Эксперты отметили, что уязвимости создают вектор атаки на пользователей этого сервиса.

Всего специалисты нашли две бреши, затрагивающие клиент Zoom для операционных систем Windows, macOS, Linux, iOS и Android. Первому багу присвоили идентификатор CVE-2021-34423 и 7,3 балла по шкале CVSS (переполнение буфера).

«Обнаруженная возможность переполнения буфера позволяет условному атакующему вызвать сбой в работе приложения или службы. В определённых сценариях эксплуатации злоумышленник сможет выполнить произвольный код», — гласит официальное сообщение представителей Zoom.

Другая уязвимость под идентификатором CVE-2021-34424 получила те же 7,3 балла. Здесь проблема уже заключается в повреждении памяти. Разработчики Zoom описывают её следующим образом:

«Предположительно, данная брешь открывает доступ к памяти и позволяет извлечь конфиденциальную информацию».

Список затронутых версий клиента Zoom приводим ниже:

Zoom Client for Meetings (для Android, iOS, Linux, macOS и Windows) версии до 5.8.4
Zoom Client for Meetings для Blackberry (для Android и iOS) версии до 5.8.1
Zoom Client for Meetings для intune (для Android и iOS) версии до 5.8.4
Zoom Client for Meetings для Chrome OS версии до 5.0.1
Zoom Rooms for Conference Room (для Android, AndroidBali, macOS и Windows) версии до 5.8.3
Controllers for Zoom Rooms (для Android, iOS и Windows) версии до 5.8.3
Zoom VDI версии до 5.8.4
Zoom Meeting SDK для Android версии до 5.7.6.1922
Zoom Meeting SDK для iOS версии до 5.7.6.1082
Zoom Meeting SDK для macOS версии до 5.7.6.1340
Zoom Meeting SDK для Windows версии до 5.7.6.1081
Zoom Video SDK (для Android, iOS, macOS и Windows) версии до 1.1.2
Zoom On-Premise Meeting Connector Controller версии до 4.8.12.20211115
Zoom On-Premise Meeting Connector MMR версии до 4.8.12.20211115
Zoom On-Premise Recording Connector версии до 5.1.0.65.20211116
Zoom On-Premise Virtual Room Connector версии до 4.4.7266.20211117
Zoom On-Premise Virtual Room Connector Load Balancer версии до 2.5.5692.20211117
Zoom Hybrid Zproxy версии до 1.0.1058.20211116
Zoom Hybrid MMR версии до 4.6.20211116.131_x86-64

Защиту от вымогателей в Windows 10 можно обойти инъекцией DLL в Explorer

Читайте также