MoneyMaker - здесь делают деньги! MoneyMaker - здесь делают деньги!

Форум Darkmoney Форум Дубликат
Дроп-сервис
probivbiz
Курсы по анонимности и безопасности Чат Манимейкера
Благотворительный фонд
Гарант-сервис, безопасные покупки


Вернуться   MoneyMaker - здесь делают деньги! > Информационный раздел > Новости из СМИ


Новости из СМИ Новости из средств массовой информации, связанные с тематикой форума MoneyMaker.

garant
Ответ
 
LinkBack Опции темы Опции просмотра
Старый 09.10.2018, 14:16   #1
Проверенный продавец
Журналист
 
Аватар для Khan
 
Регистрация: 19.07.2017
Адрес: Город грехов
Сообщений: 808
Депозит: 5000 р.
Сделок через ГАРАНТ: 0
Покупок через ГАРАНТ: 0
Post Найден способ обхода защиты Windows 10 от вымогателей

Метод заключается во внедрении вредоносной DLL-библиотеки в процесс explorer.exe на этапе запуска.

Исследователь в области кибербезопасности Соя Аояма продемонстрировал метод обхода функции защиты от программ-вымогателей Controlled Folder Access («Контролируемый доступ к папкам»), представленной в Windows 10. Данный функционал, являющийся частью Windows Defender, служит для предотвращения модификации неизвестными приложениями файлов в защищенных папках. Изменения могут осуществляться только программами из «белого» списка, помеченными как таковые пользователем или по умолчанию Microsoft.

Метод заключается во внедрении вредоносной DLL-библиотеки в процесс explorer.exe на этапе запуска. Поскольку Explorer по умолчанию находится в белом списке, внедренная в него DLL-библиотека получит возможность обойти защиту Controlled Folder Access. Как пояснил исследователь, explorer.exe загружает DLL-библиотеки из списка ключа реестра HKEY_CLASSES_ROOT\*\shellex\ContextMenuHandlers. По умолчанию при запуске Explorer загружает Shell.dll из ключа HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{90AA3A4 E-1CBA-4233-B8BB-535773D48449}\InProcServer32. Для внедрения вредоносной DLL-библиотеки Аояма просто создал ключ HKCU\Software\Classes\CLSID\{90AA3A4E-1CBA-4233-B8BB-535773D48449}\InProcServer32 и установил в качестве значения вредоносный файл. Таким образом, при перезапуске explorer.exe вместо Shell.dll будет запускаться вредоносная DLL-библиотека.

Видео: [Ссылки могут видеть только зарегистрированные пользователи. ]

При тестировании атака осталась незамеченной не только антивирусом Windows Defender, но и другими защитными решениями, включая Avast, ESET, Malwarebytes Premium и McAfee (все продукты имеют функцию защиты от вымогательского ПО).

Перед выступлением на конференции DerbyCon Аояма предоставил Microsoft информацию об уязвимости, включая PoC-код, однако в компании не посчитали нужным выплачивать специалисту награду или выпускать соответствующий патч. Представители Microsoft обосновали решение тем, что проблема может быть проэксплуатирована в случае, если компьютер уже скомпрометирован. Кроме того, атака затрагивает только одну жертву и не предоставляет возможность повышения привилегий.

Подробнее: [Ссылки могут видеть только зарегистрированные пользователи. ]
Khan вне форума   Ответить с цитированием
Ответ

Метки
dll-библиотека, вымогатели, защита, windows 10

Опции темы
Опции просмотра

Ваши права в разделе
Вы не можете создавать новые темы
Вы не можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.
Trackbacks are Вкл.
Pingbacks are Вкл.
Refbacks are Вкл.



Текущее время: 03:41. Часовой пояс GMT.

Bes73 Bes73
garant
garant

Powered by vBulletin® Version 3.8.11
Copyright ©2000 - 2019, vBulletin Solutions, Inc. Перевод:
Search Engine Optimization by vBSEOzCarot
MoneyMaker.hk