Microsoft блокирует Windows-драйвером софт, меняющий дефолтный браузер

Microsoft блокирует Windows-драйвером софт, меняющий дефолтный браузер

Microsoft блокирует Windows-драйвером софт, меняющий дефолтный браузер

Microsoft теперь пытается мешать пользователям менять настройки браузера по умолчанию в Windows 10 и Windows 11. Для этого разработчики задействовали «родной» драйвер операционной системы.

Юзеры всё ещё могут изменить дефолтный браузер через настройки Windows, однако использовать специальный софт уже не получится.

С выходом февральских обновлений для Windows 10 (KB5034763) и Windows 11 (KB5034765) Microsoft активировала драйвер, задача которого — блокировать внесение изменений в настройки браузера с помощью софта и системного реестра.

Первым на нововведение обратил внимание ИТ-специалист Кристоф Колбич. Его приложения SetUserFTA и SetDefaultBrowser внезапно перестали нормально функционировать в Windows.

SetUserFTA — работает через командную строку и позволяет администраторам менять ассоциации определённых типов файлов с установленными программами. SetDefaultBrowser работает схожим образом, но специализируется исключительно на настройках браузера по умолчанию.

С выходом Windows 8 Microsoft ввела новую систему связи расширений файлов и URL-протоколов с установленными программами. Разработчики хотели защитить пользователей от вредоносных программ, которые меняли софт для запуска определённых типов файлов.

Сейчас эта система связывает расширения файлов и URL-протокол со специально созданным хешем, хранящимся в ключах реестра UserChoice. Пример:

Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Shell\Associations\UrlAssociations\https\UserChoice]
"ProgId"="ChromeHTML"
"Hash"="N3eikAB1HhI="

Если используется некорректный хеш, Windows будет игнорировать значение в реестре и использовать программу по умолчанию — в данном случае Microsoft Edge. Тот же Колбич, например, провёл обратный инжиниринг алгоритма хеширования, чтобы создать SetUserFTA и SetDefaultBrowser.

Однако с февральскими обновлениями Windows 10 и Windows 11 Microsoft поменяла подход. Как отметил Колбич, теперь соответствующие ключи в реестре заблокированы и выдают ошибку при попытке изменить их (если это только не происходит через системные настройки Windows).

 

Драйвер, блокирующий эти изменения, получил имя «User Choice Protection Driver». Когда он загружается, в системе блокируются попытки прямого изменения ключей реестра, отвечающих за связанные с типами файлов программы.

В блоге Колбич уточняет, что пользователи не могут выгрузить драйвер, однако при этом его можно отключить в реестре:

New-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Services\UCPD” -Name “Start” -Value 4 -PropertyType DWORD -Force
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Novabev подтвердила факт атаки и вымогательства

Алкогольный холдинг Novabev подтвердил факт масштабной кибератаки, в результате которой пострадала часть ИТ-инфраструктуры группы. По заявлению компании, инцидент сопровождался шантажом: злоумышленники потребовали выкуп за восстановление работы систем. Novabev отказалась выполнять эти требования.

Как сообщили в компании, атака произошла еще 14 июля. Сильнее всего она сказалась на работе сети алкомаркетов «ВинЛаб». Полностью прекратилась работа сайта, а также физических магазинов компании.

Также 15 июля резко (на 5,5% в моменте) упал курс акций компании. Однако к концу дня темпы падения, как сообщил «Финам», составили около 1%. На следующий день 16 июля падение составило 0,35%.

Также, как сообщили «Ведомости» со ссылкой на представителей двух розничных сетей, 14 июля прекратились отгрузки основной продукции Novabev, в том числе водки «Белуга» и «Беленькая». Также приостановлены все платежные операции компании.

«14 июля группа подверглась беспрецедентной кибератаке — масштабной и скоординированной акции, осуществленной хакерами. В результате инцидента была временно нарушена работоспособность части ИT-инфраструктуры, что отразилось на доступности некоторых сервисов и инструментов группы и сети «ВинЛаб». Злоумышленники вышли на связь и выдвинули требование о выплате денежного вознаграждения. Компания придерживается принципиальной позиции неприятия любых форм взаимодействия с киберпреступниками и категорически отказывается от выполнения их требований», - говорится в официальном сообщении Novabev, которое вышло вечером 16 июля.

Характер и масштаб инцидента компания не раскрыла. По неофициальным данным, произошло заражение инфраструктуры шифровальщиком.

Между тем, как сообщили в Novabev, утечки персональных данных в ходе инцидента не произошло. Компания работает над восстановлением ИТ-инфраструктуры. Ущерб от инцидента, по оценке «Ведомостей», по состоянию на конец рабочего дня 16 июля составил 1,5 млрд рублей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru