Microsoft Security Essentials odporne na nowy atak
Niedawno było głośno o nowej metodzie pozwalającej obejść ochronę zapewnianą przez programy antywirusowe. Wspominał o niej także Michał 'lcamtuf' Zalewski. Została ona odkryta przez badaczy z matousec.com i dotyczy tzw. haków SSDT.
Programy antywirusowe chcąc przechwycić wywołania funkcji systemowych modyfikują System Service Descriptor Table (SSDT), która zawiera wskaźniki do funkcji systemu operacyjnego. Dzięki temu gdy jakiś proces chce wykonać daną operację, wywoływana jest najpierw funkcja podstawiona przez antywirus. W tym momencie program antywirusowy może dokładnie sprawdzić co proces wywołujący chce zrobić w systemie, np. analizując przekazywane przez niego parametry. Jeśli uzna, że proces nie chce wykonać żadnej szkodliwej operacji, wywołuje oryginalną funkcję systemową. W tym momencie pojawia się luka w bezpieczeństwie. Szkodliwy program może bowiem zmodyfikować przekazywane do funkcji systemowej parametry w chwili, gdy zostały one sprawdzone przez antywirusa. Wirus musi się więc dokładnie "wstrzelić" w odpowiedni moment. Kiedyś, na jednordzeniowych komputerach, było to bardzo trudne. Obecnie jednak dzięki wielordzeniowym procesorom taką operację jest znacznie łatwiej wykonać.
Podczas badań programów antywirusowych okazało się, że prawie wszystkie wpinają się do jądra systemu przez modyfikację SSDT i przez to są podatne na ominięcie ich zabezpieczeń. Na liście tych aplikacji nie było Microsoft Security Essentials. Microsoft poinformował, że nie korzysta z tzw. haków na SSDT i jego produkt zapewne nie jest podatny ale zbada sprawę. Nim jednak to zrobił, odkrywcy luki przyznali, że antywirus Microsoftu nie korzysta z takich haków i najprawdopodobniej nie jest podatny. Wkrótce przyznała to sama korporacja, która po zbadaniu sprawy wraz z Matousec'iem stwierdziła, że omawiana luka w bezpieczeństwie nie dotyczy MSE. Microsoft już od jakiegoś czasu mocno odradza firmom antywirusowym patchowanie jądra i zaleca korzystanie z innych metod. Byłoby więc hipokryzją gdyby sam stosował patchowanie SSDT w swoim produkcie.
Przypominamy, że Microsoft Security Essentials w polskiej wersji językowej można pobrać z naszego vortalu z działu PROGRAMY -> Bezpieczeństwo -> Programy antywirusowe.