Nowy EMET zabezpiecza Internet Explorera przed atakiem God Mode
Microsoft zwiększa bezpieczeństwo systemu Windows, a przynajmniej jego najnowszych edycji. Opublikowana kilka dni temu nowa wersja zestawu narzędzi rozszerzonego środowiska ograniczającego ryzyko EMET pozwala uniknąć ataku God Mode wykonywanego przy pomocy VBScript. Ta darmowa aplikacja jest dobrym sposobem na zwiększenie bezpieczeństwa.
Wspomniany atak wykorzystuje kilka technik i podatności, które umożliwiają wykonywanie złośliwego kodu i zupełne ominięcie wszystkich funkcji ochrony pamięci. Mechanizmy takie jak zapobieganie wykonywaniu danych (DEP), losowy rozkład przestrzeni adresowej (ASLR) czy EAF chronią przed szkodliwym kodem powłoki systemowej, ale nie zabezpieczają przed wykonywaniem skryptów JScript i VBScript w przeglądarce Internet Explorer. Silnik interpretera okazał się z kolei zbyt słaby, aby sobie z tym poradzić. Złośliwe skrypty mogły uzyskiwać zwiększone uprawnienia i tym samym wykonywać te same operacje, tyle tylko, że bez odgórnej kontroli.
Całe sprawdzanie bezpieczeństwa wykonywanego kodu jest ustawiane za pomocą tylko jednego bajtu, flagi SafetyOption. Poprzez atak na pamięć, możliwe jest jej zmodyfikowanie, wyłączenie kontroli i tym samym uzyskanie z poziomu skryptów pełnej kontroli. W przypadku lepiej zabezpieczonego Internet Explorera 11 da się dokonać ataku na obiekt silnika zajmującego się skryptami i osiągnąć ten sam efekt. Nowa wersja pakietu Enhanced Mitigation Experience Toolkit poprawia ustawienia funkcji Attack Surface Reduction (ASR) tak, aby przeprowadzanie tego typu operacji nie było już możliwe. Jest to bardzo ważna zmiana, bo większość ostatnich ataków na przeglądarkę Microsoftu korzystała właśnie z tej dziury.
Inną z nowości jest wprowadzenie tzw. Control Flow Guard (CFG), jakie zadebiutowało wraz z pakietem Visual Studio 2015. Mechanizm ten pozwala ochronić aplikacje przed wstrzykiwaniem nieznanego, niebezpiecznego kodu. Nowy EMET korzysta z tego rozwiązania, dodaje również swoje biblioteki do procesów aplikacji, które są przez niego chronione. Niestety, z tej funkcji skorzystać mogą jedynie posiadacze systemów Windows 8.1 i Windows 10. Ostatnia zmiana jaka pojawiła się w wersji 5.2 to wsparcie dla Internet Explorera (również w wersji Modern) z włączonym rozszerzonym trybem chronionym. Jest on dostępny od systemu Windows 8 wzwyż i powoduje, że wszelkie dodatki do przeglądarki muszą być zgodne z zabezpieczeniami, aby mogły zostać załadowane do przeglądarki.
Pakiet EMET jest udostępniany przez firmę Microsoft zupełnie za darmo. Nie stanowi on produktu, który może zastąpić antywirusa. Program ten służy do wzmocnienia ochrony, wykorzystaniu mechanizmów systemowych do ochrony przed exploitami. Już bez dodatkowej konfiguracji chroni niektóre popularne aplikacje jak np. przeglądarkę wbudowaną w system, Javę, Adobe Flash Playera i czytnik Adobe Reader. Przed jego wykorzystaniem należy wykonać kopię zapasową: w naszym przypadku na 64-bitowym systemie Windows 8.1 przeglądarka Internet Explorer z działającym w tle pakietem EMET ulegała awarii i była niezdatna do użytku. Podobny problem nie występował natomiast w 32-bitowej wersji tego systemu.
Pakiet EMET w wersji 5.2 znajdziecie w bazie oprogramowania naszego serwisu. Zapraszamy do jego wypróbowania. W naszym repozytorium znajdziecie również program Malwarebytes Anti-Exploit, który spełnia podobne zadanie, nie jest jednak aż tak problemowy, jak to ma czasem miejsce z EMET-em.