Microsoft 365 умеет сканировать запароленные ZIP в поисках вредоносов

Microsoft 365 умеет сканировать запароленные ZIP в поисках вредоносов

Microsoft 365 умеет сканировать запароленные ZIP в поисках вредоносов

ИБ-аналитики сетуют, что их возможности обмена образцами неуклонно сокращаются. В попытках оградить пользователей от известных угроз облачные провайдеры, такие как Microsoft, используют сканирование файлов, и подобные средства способны обойти парольную защиту.

Распространители зловредов, использующие имейл и скрытые загрузки (drive-by) зачастую помещают свой код в ZIP-файл, чтобы обойти антивирусную защиту. Некоторые злоумышленники идут дальше и запароливают такие архивы; как оказалось, это тоже не панацея: некоторые онлайн-сервисы пытаются преодолеть это препятствие и просканировать архив на предмет потенциально опасного контента.

ИБ-исследователь Эндрю Брандт (Andrew Brandt) случайно обнаружил, что такая возможность имеется у Microsoft. Он пытался по привычке расшарить очередные семплы через SharePoint, но веб-инструмент пометил ZIP-файлы, которые эксперт обычно защищает паролем «infected», как вредоносные, заблокировав таким образом любые действия с ними.

В комментарии к посту безутешного Брандта его коллега по цеху Кевин Бомон (Kevin Beaumont) отметил, что Microsoft использует различные методы обхода парольной защиты ZIP, притом не только на SharePoint, но на всех облачных сервисах-365.

С этой целью защита может, например, извлекать похожие на ключи данные из тела письма или имени прикрепленного файла. Если пароль уже засветился в атаках, его наличие можно выявить перебором по списку.

В ответ на запрос Ars Technica о комментарии Брандт рассказал о еще одном случае, когда облачные средства безопасности создали ему большие неудобства. В прошлом году исследователь решил сделать OneDrive-бэкап из вредоносных файлов — находок, которые он сохранял на портативном Windows-компьютере, создавая исключения для антивирусной защиты.

Впоследствии выяснилось, что после копирования в облако файлы на лэптопе исчезали, а в аккаунте OneDrive появлялись детекты вредоносов. Потеряв всю коллекцию, аналитик начал архивировать новые находки, создавая файлы под паролем; до недавнего времени SharePoint на них не реагировал, а теперь выставляет флаги.

Как оказалось, веб-сервисы Google тоже помечают запароленные ZIP как потенциально опасные, но внутрь архивов не заглядывают. Так, Gmail исправно отслеживает такие вложения во входящей корреспонденции, а аккаунты Workspace блокируют их отправку.

Подпишитесь на новости

Камеры на работе: суд отказался восстановить заклеивавшую их сотрудницу

Первый кассационный суд общей юрисдикции признал законным увольнение ветеринарного врача из Брянска, которая заклеивала камеры в лечебнице. Сначала сотруднице объявили выговор. Она ознакомилась с приказом, но продолжила закрывать объективы, после этого работодатель её уволил.

Как рассказывает «Российская газета» со ссылкой на материалы суда, женщина объясняла свои действия защитой частной жизни: камеры якобы охватывали кабинет целиком и мешали переодеваться.

Однако при разбирательстве выяснилось, что для переодевания и приёма пищи было оборудовано отдельное помещение, которое в кадр не попадало. Камеры снимали входную дверь и рабочую зону. Аргумент о вмешательстве в частную жизнь суд не убедил.

Проверку провело и управление Роскомнадзора по Брянской области. Нарушений законодательства о персональных данных ведомство не обнаружило.

В лечебнице действовало положение, запрещавшее устанавливать камеры в туалетах, раздевалках, комнатах отдыха и столовой. Проверяющие установили, что эти ограничения соблюдаются.

Юрист Марина Воронцова пояснила изданию: видеонаблюдение на работе необходимо оформить локальным нормативным актом, а сотрудников ознакомить с ним под подпись. Работодатель также должен обеспечить хранение записей.

RSS: Новости на портале Anti-Malware.ru