Создан PoC-автомат для кражи информации, собранной Windows Recall

Создан PoC-автомат для кражи информации, собранной Windows Recall

В паблик выложен код TotalRecall — инструмента, позволяющего автоматизировать кражу конфиденциальных данных из баз Recall. Запуск хайпового ИИ-помощника запланирован на 18 июня, и автор PoC хотел показать, насколько новая фича Windows ненадежна.

О появлении ИИ-функции в Windows 11 стало известно две недели назад: Microsoft анонсировала выпуск новой линейки компьютеров, Copilot+, и рассказала о нововведениях. Функция Recall вызвала бурную дискуссию — и специалисты по ИБ, и простые поклонники приватности заподозрили, что она небезопасна.

Новый механизм призван ускорить поиск нужной информации на компьютере. Каждые пару секунд он делает снимок экрана, фиксируя также действия юзера (например, уменьшение размера окна), шифрует и сохраняет локально. Параллельно Recall вычленяет все возможные ключи путем оптического распознавания и помещает их в базу SQLite в папке текущего пользователя.

Как оказалось, данные в этот файл записываются в открытом виде. Доступ к нему не требует привилегий уровня SYSTEM, а для просмотра даже не нужно админ-прав. С учетом того, что Recall будет включена по дефолту, ознакомиться с содержимым сможет любой другой пользователь.

Потестировав ИИ-функцию, известный эксперт Кевин Бомон (Kevin Beaumont) обнаружил, что собранную ею информацию можно вывести с помощью инфостилера. На его машине был установлен Microsoft Defender for Endpoint, который отреагировал на коммерческого вредоноса, но слишком поздно: за 10 минут тот успел украсть целевые данные.

Устойчивость новинки к злоупотреблениям проверил также специалист по offensive security Александер Хагенах (Alexander Hagenah). Его эксперимент подтвердил возможность автоматизации кражи данных, и исследователь решил опубликовать свой PoC-код, чтобы предупредить всех об угрозе.

Созданный им инструмент отыскивает базу данных Recall, копирует скриншоты и записи SQLite в свою папку, парсингом находит артефакты, заданные через ввод (пароли, реквизиты банковских карт и т. п.), и выдает короткий отчет:

 

В ответ на вопрос Help Net Security Хагенах заявил, что вносить изменения в код TotalRecall он не планирует.

«PoC останется как есть. Мне просто безумно интересно, чем ответит Microsoft перед запуском Recall».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

У F.A.C.C.T. ASM появился еще один MSSP-провайдер — Риэль Инжиниринг

Компания F.A.С.С.T. обрела нового партнера по поставке MSSP-услуг. Системный интегратор «Риэль Инжиниринг» уже запустил пилотирование F.A.C.C.T. Attack Surface Management, и продукт помог выявить потенциальные угрозы в сетях заказчиков.

ИТ-компания «Риэль Инжиниринг» специализируется на решениях промышленной автоматизации, основная масса ее клиентов — крупные предприятия России, которым ввиду роста количества целевых атак на АСУ ТП важно быть на шаг впереди потенциальных злоумышленников.

По оценке F.A.С.С.T., в этом году наибольшую угрозу для российской промышленности составляют атаки с использованием зловредов: шифровальщиков, шпионов, инфостилеров, скрытных майнеров, а также утечки данных по вине хактивистов. Основными векторами атак на промпредприятия являются вредоносные рассылки, открытые RDP-порты, теневые цифровые активы и непропатченные уязвимости.

Решение F.A.C.C.T. ASM позволяет проводить проверки ИТ-инфраструктуры с тем, чтобы выявить слабые места и держать под контролем площадь атаки. Пилоты подключения клиентуры «Риэль Инжиниринг» уже зафиксировали такие потенциальные угрозы, как устаревший софт, незакрытые порты, просроченные сертификаты, небезопасные настройки имейл.

На некоторых промышленных предприятиях была обнаружена утечка корпоративных учеток, в одном из случаев сервисы были вынесены на внешний хостинг с сомнительной репутацией.

Ранее в этом году F.A.C.C.T. объявила о начале MSSP-партнерства с другим российским интегратором, «Бизнес Ай Ти». В рамках новой программы ИТ-компания предлагает бесплатный двухнедельный пилот аудита инфраструктуры заказчика с использованием облачного SaaS-решения F.A.C.C.T. ASM.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru