Mockingjay — новый способ инъекции вредоноса в обход антивирусов

Mockingjay — новый способ инъекции вредоноса в обход антивирусов

Mockingjay — новый способ инъекции вредоноса в обход антивирусов

Новый способ инъекции вредоносной составляющей, получивший имя Mockingjay, позволяет атакующим обойти защитные системы и выполнить злонамеренный код в скомпрометированных системах.

На Mockingjay указали исследователи из компании Security Joes. В отчёте специалисты пишут следующее:

«Интересно, что инъекция осуществляется без выделения специального места, установки разрешений и даже запуска потока. Уникальность этого метода также в том, что для его реализации достаточно уязвимой DLL и копирования кода в нужный раздел».

Таким образом, по классификации этот способ можно отнести к «внедрению кода», который позволяет злоумышленникам помещать вредонос в процесс и обходить защитные программы.

Довольно популярной техникой является внедрение DLL, переносимых исполняемых файлов (Portable Executable, PE), а также перехват выполнения потока и process hollowing. Эксперты подчёркивают, что каждый из этих методов требует набор определённых системных вызовов и API Windows.

Но Mockingjay отличается тем, что избавляет атакующего от необходимости запуска API Windows, которые, как правило, мониторятся защитными решениями. Для этого вектор задействует уже существующие переносимые исполняемые файлы Windows, содержащие дефолтный блок памяти, защищённый правами Read-Write-Execute (RWX).

 

Взять, к примеру, библиотеку msys-2.0.dll, которая идёт с 16 КБ доступного пространства RWX. Это делает её идеальным кандидатом для инъекции вредоносного кода. Могут быть и другие уязвимые DLL с подходящими характеристиками, предупреждают специалисты.

МАКС удалили из App Store: на iPhone мессенджер больше не скачать

Российский мессенджер МАКС вечером 3 июня неожиданно пропал из App Store. Информацию об удалении подтвердили в пресс-службе сервиса. При этом причины исчезновения приложения из магазина Apple пока непонятны. Пользователям, которые уже успели установить МАКС на свои iPhone и iPad, переживать не стоит: приложение продолжает работать в штатном режиме.

Проблема, о которой сообщил «Код Дурова», касается только новых установок и загрузки мессенджера из App Store.

В пресс-службе рассказали, что уже направили запрос в Apple и ждут официальных разъяснений. Пока же компания не может сказать, почему именно приложение было удалено и когда оно сможет вернуться в магазин.

Представители МАКС напоминают, что скачать мессенджер можно в RuStore, Google Play, Huawei AppGallery, Samsung Store, Xiaomi Store, Vivo Store и с официального сайта проекта.

Вот только есть нюанс. Все перечисленные варианты актуальны для Android-устройств и экосистемы различных производителей смартфонов. Владельцам техники Apple от этого списка, мягко говоря, ни жарко ни холодно.

На iPhone альтернативных магазинов приложений для российских пользователей фактически нет, а установка программ с сайта в привычном для Android виде невозможна.

Таким образом, если МАКС действительно надолго останется за пределами App Store, новые пользователи iPhone просто не смогут его установить. Те же, у кого приложение уже есть, пока могут пользоваться сервисом без ограничений.

Apple на момент публикации ситуацию не комментировала. Поэтому остаётся только гадать, связано ли удаление с нарушением каких-либо правил площадки, технической ошибкой или другими причинами.

RSS: Новости на портале Anti-Malware.ru