Obeszli najlepsze zabezpieczenia Microsoftu, by instalować bezwartościowe malware

Microsoftowy zestaw zaawansowanych narzędzirozszerzonego środowiska ograniczającego ryzyko (EMET) właśnieprzestał wystarczać do ochrony Windowsów przed atakamiprzygotowanymi za pomocą słynnego Anglera Exploit Kitu. Twórcy tego zestawu narzędzi,wykorzystywanego do generowania gotowych ataków drive-by, znaleźlipomysłowy sposób na pokonanie najsilniejszych systemowychzabezpieczeń. Badacze z firmy FireEye już donoszą o instalacjachransomware TeslaCrypt, które właśnie z obejścia EMET-uskorzystały.

Złożoność ataków stale rośnie – i corazbardziej widać, że twórcy zabezpieczeń nie nadążają. Nowatechnika ataku, którą wbudowano w Anglera EK, określona zostałajako „wysoce zaawansowana”. Exploit atakuje wtyczki Flash iSilverlight, omijając zabezpieczenie DEP (Data ExecutionPrevention), nie korzystając przy tym z coraz popularniejszej metodyROP (Return-Oriented Programming), lecz wykorzystujewbudowane we Flasha i Silverlighta procedury do wywołaniawindowsowych funkcji zmodyfikowania stanu zabezpieczeń pamięci.Omija w ten sposób DEP i heurystyki stosowane do wykrywania takichataków.

Na szczęście sytuacja nie jest beznadziejna. Choćsamo obejście zabezpieczeń jest bardzo wyrafinowane, towykorzystano je do raczej bezsensownego ataku.

Po pierwsze, działa on tylko wtedy, jeśli wsystemie zainstalowano wtyczki Flasha lub Silverlighta. Ich usunięciecałkowicie zabezpiecza przed atakiem. Po drugie, nawet jeśliTeslaCrypt zaszyfruje wasze pliki, to nic się nie stało – toprzestarzałe ransomware, którego autorzy niedawno porzucili całyprojekt i udostępnili klucz, którym wszystko można odszyfrować.Po trzecie wreszcie, to obejście EMET-u działa na Windowsie 7, alejuż na Windowsie 10 nie udało się go zainstalować.

Nie oznacza to oczywiście, że możecie spaćspokojnie. Za chwilę może pojawić się groźniejszy atak zbudowanyza pomocą Anglera EK, w którym osadzone zostanie skuteczniejszemalware. Miejmy nadzieję, że do tego czasu Microsoft zaktualizujeswojego EMET-a, uodparniając go na takie obejścia DEP.

Do tego czasu możemy Wam polecić jedynie usunięciez systemu wtyczek Flasha i Silverlighta. Tego po prostu załatać sięnie da, a ich przydatność we współczesnej Sieci jest corazmniejsza.