Вектор атаки NoFilter позволяет обойти защитные механизмы Windows

Вектор атаки NoFilter позволяет обойти защитные механизмы Windows

Вектор атаки NoFilter позволяет обойти защитные механизмы Windows

Эксперты рассказали о ранее неизвестном векторе атаки под названием NoFilter. Он отличается тем, что злоумышленники могут использовать архитектуру платформы фильтрации Windows (МПП) для повышения прав в операционной системе.

О NoFilter рассказали специалисты компании Deep Instinct на конференции DEF CON. Описанная исследователями техника позволяет поднять права с уровня администратора до SYSTEM.

На начальной стадии анализа специалисты задействовали инструмент RPC Mapper, который помог им замапить методы удалённого вызова процедур (RPC). В особенности интересовали те способы, которые вызывают WinAPI.

Именно так удалось выявить метод под названием «BfeRpcOpenToken», являющийся частью МПП. В Deep Instinct описывают вектор так:

«Вызов NtQueryInformationProcess помогает получить таблицу дескрипторов другого процесса, где можно найти токены, принадлежащие конкретному процессу. В результате открывается возможность продублировать дескрипторы этих токенов таким образом, чтобы процесс повысил свои права до SYSTEM».

Условная вредоносная программа, работающая на уровне пользователя, может получить доступ к токенам других процессов с помощью функций DuplicateToken или DuplicateHandle, после чего использовать такой токен для запуска дочернего процесса с правами SYSTEM.

Более того, описанный метод можно модифицировать для дублирования в ядре. Здесь как раз пригодится архитектура платформы фильтрации Windows. Этот подход не только сделает атаку более незаметной, но и практически не оставит никаких следов в ОС.

По словам экспертов, NoFilter может запустить новую консоль от имени «NT AUTHORITY\SYSTEM» или любого другого пользователя, вошедшего в систему.

Студентку вернули в вуз после отчисления из-за проверки диплома на ИИ

История о борьбе человека и алгоритма получила неожиданную развязку. Верховный суд Татарстана признал незаконным отчисление студентки московского вуза, чей диплом заподозрили в использовании нейросети. Поводом для конфликта стала система проверки текстов на ИИ-контент. Сначала дипломная работа показала результат в 41,91% нейросетевого текста.

Затем студентка доработала и загрузила её повторно. Однако научный руководитель заявила, что в тексте якобы намеренно нарушена логика слов более чем в 70% материала, и сочла это попыткой обмануть проверку.

На третьей проверке показатель внезапно снизился до 11,92%. Казалось бы, вопрос закрыт. Но вуз решил иначе. Работу отказались принимать, сославшись на пропущенный срок сдачи. Хотя последний день подачи приходился на воскресенье, 8 июня 2025 года.

Уже 10 июня кафедра не допустила диплом к защите, а в тот же день был подписан приказ об отчислении. При этом саму студентку на заседание не пригласили и фактически не оставили времени на обжалование решения.

Суд изучил обстоятельства дела и нашёл сразу несколько проблем. Во-первых, была применена статья 193 Гражданского кодекса, согласно которой если последний день срока выпадает на выходной, он переносится на ближайший рабочий день. Значит, диплом был загружен вовремя.

Во-вторых, выяснилось, что отчёт системы проверки носит лишь вероятностный характер и не является окончательным доказательством использования ИИ. Более того, представитель университета признал, что научный руководитель не разбирается в принципах работы системы и самостоятельно не проводил экспертизу текста.

Дополнительный вопрос возник и к самому алгоритму. Представители вуза не смогли объяснить суду, каким образом система отличает обычные заимствования или особенности текста от результатов работы нейросети.

В итоге Верховный суд Татарстана встал на сторону студентки. Её восстановили на четвёртом курсе, обязали вуз допустить диплом к защите при условии оригинальности текста не менее 50%, а также взыскали с учебного заведения 40 тысяч рублей компенсации морального вреда и ещё 20 тысяч рублей штрафа.

RSS: Новости на портале Anti-Malware.ru