这个名为“双面间谍”的攻击手法 竟然可把杀软变成恶意软件
被称为“双面间谍”的零日攻击可接管Windows主机上的杀毒软件,并将之转变为能够加密文件索要赎金、渗漏数据或格式化硬盘的恶意软件。
从2001年推出的XP到2015年推出的 Windows 10,有一个功能始终延续。正是在此功能基础上,该攻击得以对安全厂商Cybellum测试的所有14家厂商杀软产品都有效,而且对机器上运行的其他进程也有效。
“双面间谍”目前仅被Cybellum发现,尚无野生漏洞利用出现。
“已向所有主要厂商报告了该攻击,厂商认可了漏洞的存在,目前正在寻找解决方案,准备发布补丁。”
遵守负责任漏洞披露标准,早在90天前,通告就已发向厂商,给厂商留了修复时间。
被通知的14家杀软厂商中,有2家已经采取措施处理该问题了——AVG和Malwarebytes。其他12家被通知的厂商是:Avast、小红伞、Bitdefender、趋势科技、Comodo、ESET、F-Secure、卡巴斯基、迈克菲、熊猫、Quick Heal和诺顿。
Cybellum表示,杀软平台没有明显缺陷;DLL可以被插入任意进程。选择它们做测试攻击,仅仅因为这些杀软进程被计算机上其他应用(包括其他安全软件)所信任,是很有效的攻击界面。
杀软是我们可以做的最重要攻击。如果你攻击某家公司,不仅仅是消费者,整家公司都可以被完全接管。没有其他安全防护会去检查杀软。这一整堆安全产品都可以一次性绕过。
AVG和Malwarebytes采用的权变措施涉及修复杀软,让杀软检查试图写入杀软注册表的任意进程并封锁之。
“杀软存在内核,有驱动可以查看几乎所有东西。”
同时,公司企业可以尝试加强对下载的关注,防止“双面间谍”进入主机。
Cybellum称,3年前,微软提出了“受保护进程”的新设计理念供杀软厂商使用,就是专门用来保护杀毒软件的。厂商可以编写自己的平台,以便可被认为是仅允许可信签名代码加载的受保护进程。这样便可防住代码注入攻击了,包括“双面间谍”。
“双面间谍”利用了微软应用程序验证工具的一个怪癖。该工具检测并修复原生应用程序中的漏洞,方法是通过在运行时加载到应用程序中的“验证器提供者DLL”。
微软应用程序验证工具允许创建新的验证器DLL,还可以用一组键值在注册表中进行注册。
一旦DLL被注册成某进程的验证器提供者DLL,该DLL就会在进程每次启动时,被Windows加载器注射到该进程中,即便系统重启/更新/重装/打补丁之后都如此。
换句话说,该DLL成功驻留了。
该漏洞实际上就是微软应用程序验证工具的未公开功能,也是Windows内核的一部分。所以,短期内是不太可能移除的。
该攻击甚至脚本小子级别的初级黑客都能执行。攻击代码可直接从恶意网站下载,或者通过打开恶意附件加载。
本文转自d1net(转载)
一个隐藏着的僵尸巨兽 Ponmocup 僵尸网络 本文讲的是一个隐藏着的僵尸巨兽 Ponmocup 僵尸网络,研究人员称,恶意黑客已经编写了25个插件,制造了4000个变种,绝对的庞然大物。
隐藏恶意软件的三大黑客技术 本文讲的是隐藏恶意软件的三大黑客技术,“道高一尺,魔高一丈”,检测恶意软件的新战术和技术正在兴起,但高级黑客也正在使用高级的掩盖方法避免他们的恶意软件被发现。
十个步骤使您免受勒索软件伤害 本文讲的是 十个步骤使您免受勒索软件伤害,如果您在过去几周一直对安全方面的新闻有所关注,应该听说多家公司受到勒索软件,特别是“Locky”的影响,其中不乏国内知名公司。
相关文章
- 中间人攻击工具mitmf(另类的XSS注入攻击)
- PHP的SQL注入攻击的技术实现以及预防措施
- 如何强化应用安全能力,全面拦截 Log4j 漏洞攻击
- 重新整理 .net core 实践篇————防跨站脚本攻击[四十]
- 【IOS-COCOS2D游戏开发之二十一 】自定义精灵类并为你的精灵设置攻击帧(指定开始帧)以及扩展COCOS2D源码的CCANIMATION简化动画创建!
- linux 系统如何防止攻击
- CVE-2020-17049 Kerberos Bronze Bit 攻击
- windows2016上如何通过攻击ETERNALBLUE获得meterpreter反弹
- SQL注入(SQL注入(SQLi)攻击)攻击-联合注入
- 论文阅读丨神经清洁: 神经网络中的后门攻击识别与缓解
- 反弹shell的实现方式和检测方法——常规攻击可以直接检测,pipe方式需要结合关联分析(图关联最好),如果含有混淆脚本,需要无文件攻击检测
- LNK无文件攻击形态——压缩文件中有lnk文件
- 揭秘基于注册表隐藏的无文件攻击——为了实现攻击持久化,攻击者们找到新的突破口——将恶意软件实体隐藏在注册表的某个键值里
- 利用PowerUpSQL攻击SQL Server实例——本质上就是利用弱密码登录SQL server