Антивирусы Microsoft и Avast можно использовать как вайпер — с помощью 0day

Антивирусы Microsoft и Avast можно использовать как вайпер — с помощью 0day

Антивирусы Microsoft и Avast можно использовать как вайпер — с помощью 0day

Выступая на конференции Black Hat, проходящей в Великобритании, эксперт SafeBreach Ор Яир (Or Yair) рассказал об интересной уязвимости, характерной для некоторых EDR-решений. С ее помощью злоумышленник может заставить наделенного root-правами защитника стереть все данные в системе — даже файлы, необходимые для ее функционирования.

Найденная уязвимость нулевого дня определена как TOCTOU (Time of Check Time of Use) — разновидность состояния гонки. Ей подвержены продукты класса EDR, завершающие удаление выловленных зловредов после перезагрузки системы.

Путь к вредоносному файлу в этом случае сохраняется в определенном месте (зависит от вендора) и иногда даже не проверяется при удалении. Это хороший шанс для злоумышленника, который может, используя паузу, изменить путь к объекту и заставить EDR или антивирус стереть совсем другой файл.

В комментарии для Dark Reading Яир уточнил, что с этой целью автору атаки придется использовать точки соединения NTFS, которые работают так же, как симлинки, но только для папок на разных дисках.

Сами исследователи вначале создали зловреда с разрешениями рядового пользователя. Чтобы заставить испытуемую EDR отложить удаление до перезагрузки, файл держали открытым. В системе была также создана папка C:\TEMP\ (точка соединения NTFS) с привязкой к другой директории.

В итоге при попытке окончательно вычистить вредоноса EDR пошла по неверному пути и удалила совершенно безвредный файл. Как оказалось, подобный трюк можно использовать для удаления множества файлов в разных местах, создав короткий путь к папке и вставив в него пути к целевым ресурсам.

В SafeBreach протестировали 11 антивирусных продуктов разного производства. Шесть из них оказались уязвимыми к таким абьюзам — Microsoft Defender, Defender for Endpoint, TrendMicro ApexOne, Avast Antivirus, AVG Antivirus и SentinelOne. Некоторые из них нельзя использовать для стирания файлов по выбору, зато они могут удалить сразу всю папку.

Три вендора успели выпустить патчи до обнародования 0-day на Black Hat Europe 2022 — Microsoft, TrendMicro и Gen Digital (Norton LifeLock до слияния с Avast). Яир не исключает, что выявленная проблема актуальна и для других EDR-систем; парк потенциально уязвимых конечных устройств он оценил в сотни миллионов компьютеров.

Участники конференции также ознакомились с PoC-кодом Aikido, умеющим скрытно манипулировать EDR. Чтобы опытный образец соответствовал званию вайпера, его научили перезаписывать файлы перед удалением — в этом случае содержимое невозможно восстановить.

Ущерб свыше 1 млрд руб.: детям обещают робуксы, а у родителей крадут деньги

Компания F6 предупредила о новом витке мошеннических схем, в которых злоумышленники выходят на родителей через детей. В качестве приманки используют старую и всё ещё рабочую наживку — обещание бесплатных робуксов для Roblox. Но теперь схема стала жёстче: кроме обмана, преступники начали активно запугивать детей фейковыми заявлениями в полицию.

По данным аналитиков F6, в 2025 году в России зафиксировали более 7000 таких инцидентов, а общий ущерб от подобных атак мог превысить 1 млрд рублей.

Сценарий обычно начинается в TikTok и Likee, где мошенники от имени популярных у детей блогеров публикуют ролики о якобы бесплатной раздаче игровой валюты. Дальше ребёнка уводят в личные сообщения или в мессенджер, где уже выдают «инструкцию» по получению несуществующего приза.

 

И вот здесь начинается главное. У ребёнка просят сфотографировать экран телефона мамы, папы, бабушки или дедушки, чтобы понять, какими банковскими приложениями пользуются взрослые. После этого могут попросить открыть СМС от банка и прислать фотографии сообщений с кодами, балансами и уведомлениями.

Чтобы ребёнок не успел задуматься, мошенники торопят его таймером на 5–7 минут и пишут в доверительном стиле вроде «зая» или «зайка». Всё сделано так, чтобы быстро расположить к себе и не дать времени посоветоваться со взрослыми.

Если нужные фото уже отправлены, начинается следующий этап — запугивание. По данным F6, злоумышленники рассылают детям фальшивые видеосообщения и «заявления в полицию». В одном из сценариев используется ролик с дипфейк-монтажом: в кадре на долю секунды появляется блогер, а затем её голосом ребёнку сообщают, что на него якобы уже подано заявление о мошенничестве.

 

Дальше ребёнку показывают поддельную страницу, оформленную под сайт МВД России. В тексте говорится, что блогер якобы перевёл деньги родителям ребёнка на покупку робуксов, а теперь требует возврата, иначе будет штраф — например, 100 тысяч рублей. Цель проста: испугать, подавить и заставить выполнять новые указания.

Параллельно специалисты фиксируют ещё одну связанную схему — уже с угоном аккаунтов Roblox и мессенджеров. В фейковых каналах тех же «блогеров» пользователям предлагают поучаствовать в розыгрыше робуксов, а затем через бота просят ввести номер телефона и код двухфакторной аутентификации. После этого аккаунт фактически уходит в руки злоумышленников.

 

По наблюдениям F6, с начала 2026 года активность таких атак растёт. Главная мишень — дети 8–14 лет, для которых Roblox по-прежнему остаётся одной из самых популярных игр.

RSS: Новости на портале Anti-Malware.ru