这个名为“双面间谍”的攻击手法 竟然可把杀软变成恶意软件

作者:星期五, 三月 24, 20170
分享:

被称为“双面间谍”的零日攻击可接管Windows主机上的杀毒软件,并将之转变为能够加密文件索要赎金、渗漏数据或格式化硬盘的恶意软件。

从2001年推出的XP到2015年推出的 Windows 10,有一个功能始终延续。正是在此功能基础上,该攻击得以对安全厂商Cybellum测试的所有14家厂商杀软产品都有效,而且对机器上运行的其他进程也有效。

“双面间谍”目前仅被Cybellum发现,尚无野生漏洞利用出现。

“已向所有主要厂商报告了该攻击,厂商认可了漏洞的存在,目前正在寻找解决方案,准备发布补丁。”

遵守负责任漏洞披露标准,早在90天前,通告就已发向厂商,给厂商留了修复时间。

被通知的14家杀软厂商中,有2家已经采取措施处理该问题了——AVG和Malwarebytes。其他12家被通知的厂商是:Avast、小红伞、Bitdefender、趋势科技、Comodo、ESET、F-Secure、卡巴斯基、迈克菲、熊猫、Quick Heal和诺顿。

Cybellum表示,杀软平台没有明显缺陷;DLL可以被插入任意进程。选择它们做测试攻击,仅仅因为这些杀软进程被计算机上其他应用(包括其他安全软件)所信任,是很有效的攻击界面。

杀软是我们可以做的最重要攻击。如果你攻击某家公司,不仅仅是消费者,整家公司都可以被完全接管。没有其他安全防护会去检查杀软。这一整堆安全产品都可以一次性绕过。

AVG和Malwarebytes采用的权变措施涉及修复杀软,让杀软检查试图写入杀软注册表的任意进程并封锁之。

“杀软存在内核,有驱动可以查看几乎所有东西。”

同时,公司企业可以尝试加强对下载的关注,防止“双面间谍”进入主机。

Cybellum称,3年前,微软提出了“受保护进程”的新设计理念供杀软厂商使用,就是专门用来保护杀毒软件的。厂商可以编写自己的平台,以便可被认为是仅允许可信签名代码加载的受保护进程。这样便可防住代码注入攻击了,包括“双面间谍”。

“双面间谍”利用了微软应用程序验证工具的一个怪癖。该工具检测并修复原生应用程序中的漏洞,方法是通过在运行时加载到应用程序中的“验证器提供者DLL”。

微软应用程序验证工具允许创建新的验证器DLL,还可以用一组键值在注册表中进行注册。

一旦DLL被注册成某进程的验证器提供者DLL,该DLL就会在进程每次启动时,被Windows加载器注射到该进程中,即便系统重启/更新/重装/打补丁之后都如此。

换句话说,该DLL成功驻留了。

该漏洞实际上就是微软应用程序验证工具的未公开功能,也是Windows内核的一部分。所以,短期内是不太可能移除的。

该攻击甚至脚本小子级别的初级黑客都能执行。攻击代码可直接从恶意网站下载,或者通过打开恶意附件加载。

 

分享:

相关文章

写一条评论

 

 

0条评论