被称为“双面间谍”的零日攻击可接管Windows主机上的杀毒软件,并将之转变为能够加密文件索要赎金、渗漏数据或格式化硬盘的恶意软件。
从2001年推出的XP到2015年推出的 Windows 10,有一个功能始终延续。正是在此功能基础上,该攻击得以对安全厂商Cybellum测试的所有14家厂商杀软产品都有效,而且对机器上运行的其他进程也有效。
“双面间谍”目前仅被Cybellum发现,尚无野生漏洞利用出现。
“已向所有主要厂商报告了该攻击,厂商认可了漏洞的存在,目前正在寻找解决方案,准备发布补丁。”
遵守负责任漏洞披露标准,早在90天前,通告就已发向厂商,给厂商留了修复时间。
被通知的14家杀软厂商中,有2家已经采取措施处理该问题了——AVG和Malwarebytes。其他12家被通知的厂商是:Avast、小红伞、Bitdefender、趋势科技、Comodo、ESET、F-Secure、卡巴斯基、迈克菲、熊猫、Quick Heal和诺顿。
Cybellum表示,杀软平台没有明显缺陷;DLL可以被插入任意进程。选择它们做测试攻击,仅仅因为这些杀软进程被计算机上其他应用(包括其他安全软件)所信任,是很有效的攻击界面。
杀软是我们可以做的最重要攻击。如果你攻击某家公司,不仅仅是消费者,整家公司都可以被完全接管。没有其他安全防护会去检查杀软。这一整堆安全产品都可以一次性绕过。
AVG和Malwarebytes采用的权变措施涉及修复杀软,让杀软检查试图写入杀软注册表的任意进程并封锁之。
“杀软存在内核,有驱动可以查看几乎所有东西。”
同时,公司企业可以尝试加强对下载的关注,防止“双面间谍”进入主机。
Cybellum称,3年前,微软提出了“受保护进程”的新设计理念供杀软厂商使用,就是专门用来保护杀毒软件的。厂商可以编写自己的平台,以便可被认为是仅允许可信签名代码加载的受保护进程。这样便可防住代码注入攻击了,包括“双面间谍”。
“双面间谍”利用了微软应用程序验证工具的一个怪癖。该工具检测并修复原生应用程序中的漏洞,方法是通过在运行时加载到应用程序中的“验证器提供者DLL”。
微软应用程序验证工具允许创建新的验证器DLL,还可以用一组键值在注册表中进行注册。
一旦DLL被注册成某进程的验证器提供者DLL,该DLL就会在进程每次启动时,被Windows加载器注射到该进程中,即便系统重启/更新/重装/打补丁之后都如此。
换句话说,该DLL成功驻留了。
该漏洞实际上就是微软应用程序验证工具的未公开功能,也是Windows内核的一部分。所以,短期内是不太可能移除的。
该攻击甚至脚本小子级别的初级黑客都能执行。攻击代码可直接从恶意网站下载,或者通过打开恶意附件加载。
本文转自d1net(转载)