OpenSUpdater использует подпись кода для обхода антивирусов в Windows

OpenSUpdater использует подпись кода для обхода антивирусов в Windows

OpenSUpdater использует подпись кода для обхода антивирусов в Windows

Специалисты по кибербезопасности из Goolge отметили интересный подход разработчиков вредоносных программ. Теперь операторы зловредов используют специально созданные сигнатуры для подписи кода, которые выглядят легитимными в системе Windows и позволяют обойти защитные программы.

В частности, этот метод используется для распространения OpenSUpdater, которая получила статус потенциально опасной программы — Riskware. OpenSUpdater внедряется в браузеры и устанавливает дополнительный опасный софт в систему жертвы.

За этой кампанией стоит киберпреступная группировка, основной мотив которой — финансовая выгода. Поэтому задача OpenSUpdater — заразить как можно больше устройств. Большинство жертв злоумышленников на данный момент находится в США и, судя по всему, в их интересы входит скачивание нелегального софта, «кряков» и т. п.

Как отметил Нил Мехта, один из исследователей команды Google Threat Analysis Group (TAG), авторы OpenSUpdater недавно начали подписывать семплы своей программы специально созданными сертификатами. Интересно, что эти образцы полностью сбивали парсинг OpenSSL, так что декодировать и проверить сигнатуры не представлялось возможным.

Другими словами, антивирусные решения, использующие правила детектирования OpenSSL, не могли обнаружить OpenSUpdater, поэтому нежелательный софт выполнял любые действия в системе пользователя.

«С середины августа образцы OpenSUpdater подписывались невалидной сигнатурой. Наше исследование показало, что это было сделано специально для обода детектирования антивирусными программами», — объясняет Мехта.

«Защитные решения, использующие OpenSSL для извлечения информации о подписи, будут игнорировать образец вредоноса, поскольку они не смогут получить корректные данные о сигнатуре. В сущности, это просто нарушит сам процесс антивирусного сканирования».

Android разрешит переносить passkey между менеджерами паролей

Google приблизилась к тому, чтобы наконец-то разрешить пользователям Android переносить passkey между разными менеджерами паролей. Те самые ключи доступа, которые должны были заменить пароли и сделать жизнь проще, но заодно умудрились частично запереть пользователей внутри экосистем.

Сейчас passkey считаются более безопасной альтернативой обычным паролям: не надо запоминать сложные комбинации, меньше шансов попасться на фишинг, вход подтверждается устройством.

Но есть нюанс: перенести такие ключи из одного менеджера паролей в другой бывает куда сложнее, чем хотелось бы. Безопасность безопасностью, а цифровой замок на двери всё равно раздражает.

Google работает над решением этой проблемы с прошлого года. Apple уже успела внедрить перенос passkey в сторонние менеджеры в iOS 26 и macOS 26, а вот на Android функция пока официально не заработала.

Теперь стало известно, что корпорация добра уже тестирует интерфейс переноса passkey между приложениями. В Google Password Manager появились скрытые опции «Импортировать пароли и ключи доступа» и «Экспортировать пароли и ключи доступа» вместо обычных пунктов импорта и экспорта паролей.

 

 

Согласно тестам Android Authority, функцию удалось активировать и частично проверить. При импорте Google Password Manager предлагает выбрать менеджер паролей, где уже хранятся passkey. После этого пользователь переходит в выбранное приложение, например Bitwarden, и может перенести пароли, passkey и другие сохранённые данные в менеджер Google.

С экспортом всё немного хитрее: отдельной кнопки «отправить passkey в другое приложение» пока нет. Вместо этого система должна предлагать перенос, когда пользователь открывает другой поддерживаемый менеджер паролей.

Работать всё это будет через Credential Exchange Protocol — механизм обмена учётными данными между менеджерами паролей. Его поддерживают крупные игроки вроде Google, Apple и Samsung, но на старте функция может быть доступна не для всех приложений.

RSS: Новости на портале Anti-Malware.ru