Обнаружен способ дистанционного отключения антивирусов на Windows с использованием режима безопасного запуска. Microsoft не считает находку Роберто Франческетти (Roberto Franceschetti) уязвимостью, так как проведение атаки требует наличия прав администратора.
Автор находки, напротив, уверен, что разработчики Windows допустили ошибку, поэтому он опубликовал результаты исследования и PoC-коды для деактивации Microsoft Defender, а также антивирусных продуктов Avast, Bitdefender, F-Secure и Kaspersky.
По словам Франческетти, написанные им bat-скрипты можно запустить как локально, так и удаленно. В обоих случаях они работают одинаково: инициируют перезагрузку Windows в безопасном режиме и переименовывают папку антивируса до запуска ассоциированной службы.
Для смены имени папок защитных решений в системе создается служба Windows NT, способная работать в безопасном режиме. Поскольку в этом случае ОС при старте блокирует большинство сторонних и не критичных для ее работы сервисов, исследователю пришлось обеспечить запуск своей службы добавлением записи в раздел реестра HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal.
Созданный Франческетти эксплойт с успехом отработал на Windows 10 и Windows Server 2016 с такой защитой, как Defender, Avast и F-Secure. Антивирусы Kaspersky и Bitdefender смогли воспрепятствовать завершению PoC-сценария, так как в них предусмотрена защита от несанкционированного вмешательства, и соответствующие скрипты пришлось немного изменить.
Провести такую атаку на Windows без повышенных привилегий невозможно, однако исследователь не преминул отметить, что на многих домашних ПК вход осуществляется из-под аккаунта администратора. В корпоративном окружении подобный эксплойт более опасен: если ряд служащих имеет админ-доступ ко всем рабочим станциям или серверу компании, достаточно убедить одного из них запустить вредоносный bat-файл, и весь парк останется без антивирусной защиты.
В Microsoft отказались признавать PoC-атаку Франческетти угрозой безопасности и не планируют что-либо исправлять. Производители антивирусов, по мнению исследователя, мало чем могут помочь: корень зла кроется в Windows, а не их решениях. Тем не менее, некоторые из названных ИБ-вендоров собираются принять меры для предотвращения атак по предложенному сценарию — в частности, о таком намерении заявили Avast и «Лаборатория Касперского».
В F-Secure уповают на EDR-зашиту (Endpoint Detection and Response, система обнаружения целевых атак на конечных точках сети). Bitdefender, как и Microsoft, не считает нужным реагировать на находку, так как та «не является уязвимостью либо непредусмотренным поведением».
Злоумышленники могут использовать взломанные умные кормушки для животных для слежки за владельцами. Для получения информации применяются встроенные в устройства микрофоны и видеокамеры. Получив несанкционированный доступ, атакующие способны наблюдать за происходящим в помещении и перехватывать данные.
Об использовании таких устройств в криминальных целях рассказал агентству «Прайм» эксперт Kaspersky ICS CERT Владимир Дащенко.
«Это уже не гипотетическая угроза: известны случаи взлома домашних камер, видеонянь, кормушек для животных и других умных приборов», — предупреждает эксперт.
По словам Владимира Дащенко, вопросам кибербезопасности таких устройств часто не уделяется должного внимания. Между тем любое оборудование с доступом в интернет может стать точкой входа для злоумышленников.
Скомпрометированные устройства могут использоваться и для атак на другие элементы домашней сети — например, смартфоны или компьютеры. Кроме того, они способны становиться частью ботнетов, применяемых для DDoS-атак или майнинга криптовалют. На подобные риски почти год назад обращало внимание МВД России.
Среди признаков возможной компрометации умных устройств эксперт называет самопроизвольные отключения, резкие изменения сетевой активности, появление сообщений об ошибках или другие нетипичные события.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
