Антивирусы Microsoft и Avast можно использовать как вайпер — с помощью 0day

Антивирусы Microsoft и Avast можно использовать как вайпер — с помощью 0day

Антивирусы Microsoft и Avast можно использовать как вайпер — с помощью 0day

Выступая на конференции Black Hat, проходящей в Великобритании, эксперт SafeBreach Ор Яир (Or Yair) рассказал об интересной уязвимости, характерной для некоторых EDR-решений. С ее помощью злоумышленник может заставить наделенного root-правами защитника стереть все данные в системе — даже файлы, необходимые для ее функционирования.

Найденная уязвимость нулевого дня определена как TOCTOU (Time of Check Time of Use) — разновидность состояния гонки. Ей подвержены продукты класса EDR, завершающие удаление выловленных зловредов после перезагрузки системы.

Путь к вредоносному файлу в этом случае сохраняется в определенном месте (зависит от вендора) и иногда даже не проверяется при удалении. Это хороший шанс для злоумышленника, который может, используя паузу, изменить путь к объекту и заставить EDR или антивирус стереть совсем другой файл.

В комментарии для Dark Reading Яир уточнил, что с этой целью автору атаки придется использовать точки соединения NTFS, которые работают так же, как симлинки, но только для папок на разных дисках.

Сами исследователи вначале создали зловреда с разрешениями рядового пользователя. Чтобы заставить испытуемую EDR отложить удаление до перезагрузки, файл держали открытым. В системе была также создана папка C:\TEMP\ (точка соединения NTFS) с привязкой к другой директории.

В итоге при попытке окончательно вычистить вредоноса EDR пошла по неверному пути и удалила совершенно безвредный файл. Как оказалось, подобный трюк можно использовать для удаления множества файлов в разных местах, создав короткий путь к папке и вставив в него пути к целевым ресурсам.

В SafeBreach протестировали 11 антивирусных продуктов разного производства. Шесть из них оказались уязвимыми к таким абьюзам — Microsoft Defender, Defender for Endpoint, TrendMicro ApexOne, Avast Antivirus, AVG Antivirus и SentinelOne. Некоторые из них нельзя использовать для стирания файлов по выбору, зато они могут удалить сразу всю папку.

Три вендора успели выпустить патчи до обнародования 0-day на Black Hat Europe 2022 — Microsoft, TrendMicro и Gen Digital (Norton LifeLock до слияния с Avast). Яир не исключает, что выявленная проблема актуальна и для других EDR-систем; парк потенциально уязвимых конечных устройств он оценил в сотни миллионов компьютеров.

Участники конференции также ознакомились с PoC-кодом Aikido, умеющим скрытно манипулировать EDR. Чтобы опытный образец соответствовал званию вайпера, его научили перезаписывать файлы перед удалением — в этом случае содержимое невозможно восстановить.

Конституционный суд упростил иски для жертв телефонного мошенничества

Конституционный суд подтвердил право жертв телефонного мошенничества обращаться в суд по месту своего жительства, а не по месту проживания ответчика. Ранее, исходя из положений статей 28 и 29 Гражданского процессуального кодекса РФ, суды нередко требовали подавать иски о возмещении ущерба именно по месту жительства ответчика.

С жалобой в высшую судебную инстанцию обратилась жительница Ставропольского края, сообщает «Российская газета».

Женщина стала жертвой злоумышленников, которые получили доступ к её онлайн-банку и похитили значительную сумму денег. По данному факту было возбуждено уголовное дело, однако его приостановили из-за неустановления лица, подлежащего привлечению в качестве обвиняемого.

В ходе расследования при этом удалось установить номер банковской карты дропа. Потерпевшая подала иск к владельцу карты о взыскании неосновательного обогащения, однако суды отклонили обращения «за нарушение принципа подсудности», поскольку ответчик проживал в Московской области. Поездка в другой регион, как указала заявительница, была для неё связана с «болезненными и практически непреодолимыми трудностями».

Судьи Конституционного суда напомнили, что право на судебную защиту предполагает эффективное восстановление нарушенных прав и свобод посредством правосудия.

«Актуальная социально-криминологическая обстановка и меняющийся характер и динамика преступности дают дополнительные основания для совершенствования гарантий доступности правосудия для потерпевших от преступлений, — приводит издание выдержку из решения Конституционного суда. — При этом учёту подлежат особенности правовой природы отношений собственности как объекта посягательства и такого их предмета, в качестве которого выступают деньги, способные поступать в результате хищения в распоряжение лиц, находящихся в самых разных, в том числе весьма удалённых от места жительства потерпевшего, местах».

В итоге Конституционный суд признал необходимость отступления от принципа территориальной подсудности при подаче исков жертвами мошенников. В суде указали, что следование прежнему подходу смещает баланс в пользу потенциального ответчика, и такой дисбаланс должен быть устранён, в том числе на законодательном уровне.

RSS: Новости на портале Anti-Malware.ru