Забудьте о необходимости безопасно извлекать USB-накопители в Windows 10

Забудьте о необходимости безопасно извлекать USB-накопители в Windows 10

Забудьте о необходимости безопасно извлекать USB-накопители в Windows 10

Обновившись до версии Windows 10 1809, вы обнаружите, что вам больше не выводятся предупреждения при «неправильном» извлечении USB-накопителей. Раньше необходимо было задействовать специальную функцию — «Извлечь устройство». Теперь же вы можете просто вытащить флешку, система не будет на это «ругаться».

Microsoft решила обновить свою политику относительно подключенных USB-накопителей. Вместо «лучшей производительности» пользователи теперь смогут опробовать «быстрое извлечение».

Что же на деле значат эти две политики в отношении съемных USB-устройств — Microsoft дала описание каждой из характеристик.

  1. Быстрое извлечение. Смысл этой политики заключается в том, чтобы держать подключенное устройство в постоянной готовности к извлечению. Таким образом, вы можете отключить съемное устройство без необходимости «безопасно» извлекать его. Однако здесь есть нюанс — Windows не сможет кешировать операции записи на этот съемный диск. Это может сказаться на производительности.
  2. Лучшая производительность. Это политика, как можно понять из названия, делает упор на улучшение производительности при работе со съемными дисками. В этом случае операционная система способна кешировать операции записи на USB-устройство. Придется пользоваться функцией «безопасного» извлечения накопителя — Windows так убеждается, что все кеширование завершено.

Несмотря на то, что Microsoft теперь отдает предпочтение «быстрому извлечению», корпорация оставила возможность настроить все таким образом, чтобы операции записи кешировались, а вам необходимо было извлекать устройство перед тем, как вытащить его из разъема.

Для этого:

  1. Подключите устройство к компьютеру.
  2. Откройте проводник Windows (например, правой кнопкой по меню Пуск — Проводник).
  3. В проводнике найдите подключенное USB-устройство.
  4. Правой кнопкой мыши по устройству — «Управление диском».
  5. В нижней части появившегося окна найдите диск, нажмите на его логотипе правую кнопку, выберите — «Свойства».
  6. Выберите «Политики», а затем настройте ту, которую сочтете нужным.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Шифровальщик LockBit все еще жив и обрел загрузчик, позволяющий обойти EDR

Проведенный в Flashpoint анализ LockBit 5.0 подтвердил, что новая версия зловреда построена на базе v4.0. Шифровальщик также стал еще более скрытным из-за использования кастомного загрузчика и обрел деструктивные функции.

С выпуском LockBit 5.0 его развертывание стало осуществляться в два этапа: вначале загружается самостоятельный лоадер, обеспечивающий обход EDR, а затем — основной пейлоад, не утративший прежних функций.

Шифровальщик по-прежнему откатывает исполнение на машинах жителей стран СНГ, но стал обходить стороной также Филиппины. Записка с требованием выкупа (ReadMeForDecrypt.txt) содержит привычный текст, сохранилась даже опечатка в англоязычном слове «информация» — «inforTmation».

 

Для обхода EDR новый загрузчик LockBit использует технику process hollowing (для внедрения вредоноса в экземпляр defrag.exe), отвязку библиотек (повторно загружает с диска чистые NTDLL и Kernel32, перезаписывая в памяти хуки защитных решений), патчинг трассировки событий Windows, а также скрывает расширения файлов.

Изолированный от основного пейлоада зловред умеет распознавать вызовы API по хешам, перенаправлять поток исполнения на разрешенные вызовы API, динамически рассчитывать адреса перехода для обфускации потока управления.

Обновленный LockBit научился обрабатывать данные на локальных и сетевых дисках, в папках по выбору оператора, а также работать в многопоточном режиме с использованием XChaCha20.

Опциональные деструктивные функции позволяют зловреду шифровать файлы незаметно для жертвы — не меняя расширений и без вывода записки с требованием выкупа.

Результаты анализа показали, что грозный шифровальщик все еще актуален как угроза и даже продолжает развиваться — невзирая на попытки ликвидации инфраструктуры LockBit, взлом сайта RaaS (Ransomware-as-a-Service, вымогательский софт как услуга) и слив переписки в рамках LockBit-партнерки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru