В Windows 10 обнаружена опасная уязвимость

Исследователь безопасности из компании PwC Витце Бьюкема (Wietze Beukema) обнаружил почти 300 исполняемых файлов в Windows 10, которые уязвимы к атакам типа DLL hijack («подмена DLL-библиотек»). C помощью скрипта VBScript некоторые из EXE-файлов могут быть использованы для перехвата DLL, полностью минуя контроль учетных записей пользователей (User Account Control, UAC).

Подмена DLL-библиотек может позволить злоумышленнику выполнить произвольный код, повысить привилегии и обеспечить персистентность на целевой системе. Различные методы атак с использованием DLL-библиотек, описанные специалистом, включают замену DLL, перехват поиска DLL, перенаправление DLL, замену DLL в папке WinSxS и перехват относительного пути DLL.

Для демонстрации перехвата относительного пути DLL Бьюкема выбрал библиотеки, находящиеся в папке «C:\Windows\System32» на компьютере под управлением Windows 10 (v1909). Он скопировал легитимный файл winstat.exe в папку загрузок на своей системе, затем запустил инструмент мониторинга процессов procmon с целью идентифицировать все DLL-библиотеки, запрашиваемые приложениями, которые потенциально можно перехватить. Для того чтобы узнать, какие DLL-библиотеки были корректно загружены, специалист скомпилировал собственную версию DLL-библиотеки и заставил ее осуществить запись в уникальный файл после успешной загрузки.

Исследователь предоставил полный список библиотек и исполняемых файлов, которые могут быть использованы в ходе атак. Список состоит из 287 исполняемых файлов и 263 уникальных DLL-библиотек.

Специалист также сообщил о некоторых ограничениях, связанных с данными типами атак:

-Использовать только исполняемые файлы, не требующие никаких аргументов;

-Избегать приложений с расширенным графическим интерфейсом и возможностями отчетов об ошибках;

-Не использовать DLL-библиотеки, написанные на языке C++.

Одна из причин, по которой специалист предлагает использовать VBScript, заключается в том, что создание каталогов Windows, имена которых содержат завершающий пробел, не может быть достигнуто с помощью «традиционных средств». С помощью VBScript нет необходимости использовать собственные скомпилированные двоичные файлы для осуществления атаки.

Для предотвращения подобных атак эксперт рекомендует настроить приложения так, чтобы они всегда использовали абсолютные пути вместо относительных. Также в настройках UAC можно указать параметр «всегда уведомлять», что поможет предотвратить успешное выполнение перехвата DLL.

Новости по теме

Фаррел Уильямс и Netflix работают над мюзиклом

Фаррелл Уильямс готовит документальный сериал о госпеле «Voices of Fire» («Голоса огня»).

1

Galaxy Watch 3 удивит своим программным обеспечением.

Galaxy Watch 3 представляет собой одно из наиболее многообещающих умных наручных устройств, которое анонсирует компания Samsung в предстоящем месяце – а если точнее, то это должно произойти уже в начале августа текущего года, во время развертывани...

2

Netflix показал первый трейлер романтической комедии "Будка поцелуев 2".

Сервис Netflix опубликовал первый трейлер продолжения романтической комедии "Будка поцелуев" 2018 года.

1

Группировка Lazarus заподозрена в краже данных платежных карт покупателей в США и Европе.

Специалисты компании Sansec сообщили о масштабной вредоносной кампании по краже данных платежных карт клиентов крупных ретейлеров в США и Европе.

Трейдер дал негативный прогноз по цене биткоина

О текущей ситуации на рынке рассказывает трейдер Илья Мещеряков.

1

Продолжая просматривать Новости Украины (UAZMI), вы подтверждаете, что ознакомились с Правилами пользования сайтом, и соглашаетесь на использование файлов cookie