搜索

[4378] 2017-09-29_IllusionGap攻击可绕过Windows内置安全防御

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2017-09-29_IllusionGap攻击可绕过Windows内置安全防御 I l l u s i o n   G a p 攻 击 可 绕 过 W i n d o w s 内 置 安 全 防 御 原 创   E 小 编   E 安 全   2 0 1 7 - 0 9 - 2 9 E 安 全 9 月 2 9 日 讯   来 自 C y b e r A r k 公 司 的 安 全 研 究 人 员 们 发 现 了 一 种 新 型 技 术 “ I l l u s i o n   G a p ” ， 允 许 恶 意 软 件 绕 过 W i n d o w s D e f e n d e r — — W i n d o w s 操 作 系 统 内 置 的 标 准 安 全 杀 毒 软 件 。 “ I l l u s i o n   G a p ” 属 于 社 交 工 程 与 流 氓 S M B 服 务 器 的 混 合 产 物 。 该 攻 击 利 用 到 “ W i n d o w s   D e f e n d e r 在 执 行 扫 描 之 前 ， 需 要 首 先 对 存 储 在 S M B 共 享 服 务 器 中 的 文 件 进 行 选 择 的 机 制 ” 。 要 令 I l l u s i o n   G a p 切 实 起 效 ， 攻 击 者 必 须 说 服 用 户 执 行 某 个 托 管 在 恶 意 S M B 服 务 器 上 的 文 件 ， 听 起 来 似 乎 很 复 杂 ， 但 实 际 上 只 需 要 一 个 简 单 的 文 件 快 捷 方 式 即 可 搞 定 。 I l l u s i o n   G a p 工 作 原 理 工 作 原 理 问 题 出 现 在 用 户 双 击 该 恶 意 文 件 之 后 。 在 默 认 情 况 下 ， W i n d o w s 会 从 S M B 服 务 器 处 请 求 一 份 文 件 副 本 用 以 创 建 该 文 件 的 执 行 进 程 ， 而 W i n d o w s   D e f e n d e r 也 将 请 求 一 份 文 件 副 本 来 进 行 扫 描 。 S M B   服 务 器 能 够 区 分 这 两 项 请 求 ， 攻 击 者 则 可 借 此 机 会 配 置 该 恶 意 S M B 服 务 器 以 使 用 两 个 不 同 的 文 件 响 应 两 项 请 求 。
攻 击 者 能 够 向 W i n d o w s   P E   L o a d e r 发 送 一 个 恶 意 文 件 ， 并 向 W i n d o w s   D e f e n d e r 发 送 另 一 个 良 性 文 件 。 W i n d o w s   D e f e n d e r 会 扫 描 该 良 性 文 件 并 正 常 放 行 ， 而 W i n d o w s   P E   L o a d e r 则 随 后 执 行 该 恶 意 文 件 — — 这 时 ， W i n d o w s   D e f e n d e r 完 全 不 会 意 识 到 这 其 实 是 两 个 完 全 不 同 的 文 件 。 微 软 认 为 这 并 不 属 于 安 全 问 题 微 软 认 为 这 并 不 属 于 安 全 问 题 C y b e r A r k 公 司 表 示 ， 其 已 经 向 微 软 方 面 发 出 通 知 ， 但 后 者 认 为 这 并 不 属 于 安 全 问 题 。 研 究 人 员 们 在 其 研 究 人 员 们 在 其 I l l u s i o n   G a p 研 究 论 研 究 论 文 中 附 上 了 微 软 的 回 复 。 文 中 附 上 了 微 软 的 回 复 。 感 谢 您 的 邮 件 。 根 据 您 的 报 告 ， 成 功 攻 击 需 要 用 户 从 由 能 够 根 据 访 问 模 式 变 更 自 身 操 作 的 定 制 服 务 器 所 支 持 的 不 受 信 S M B 共 享 处 运 行 / 信 任 内 容 。 这 看 起 来 并 不 属 于 安 全 问 题 ， 但 我 已 经 将 内 容 转 发 给 工 程 技 术 团 队 。 再 次 感 谢 您 负 责 地 向 微 软 报 告 安 全 问 题 ， 我 们 对 您 的 努 力 深 表 感 谢 。 基 本 解 决 建 议 基 本 解 决 建 议 C y b e r A r k 公 司 网 络 研 究 高 级 主 管 K o b y   B e n   N a i m （ 柯 比 · 本 · 奈 姆 ） 在 邮 件 采 访 中 指 出 ， “ W i n d o w s   D e f e n d e r 的 职 责 就 是 扫 描 并 找 出 恶 意 文 件 — — 这 项 缺 陷 允 许 恶 意 文 件 将 其 绕 过 ， 意 味 着 W i n d o w s   D e f e n d e r 无 法 正 常 完 成 其 任 务 。 ” N a i m 同 时 补 充 称 ， “ 除 了 在 W i n d o w s   D e f e n d e r 之 外 安 装 其 它 反 病 毒 或 者 端 点 扫 描 软 件 之 外 ， 企 业 没 有 更 好 的 办 法 来 解 决 这 项 特 定 安 全 缺 陷 。 ” 他 表 示 ， “ 最 好 解 决 方 案 是 ， 企 业 不 仅 需 要 依 靠 商 战 扫 描 与 反 病 毒 软 件 ， 还 应 采 取 主 动 安 全 措 施 ， 即 假 定 恶 意 软 件 已 经 突 破 了 您 的 边 界 防 线 。 “ 我 们 坚 持 认 为 ， 企 业 应 当 在 整 个 体 系 内 对 端 点 及 服 务 器 采 取 最 低 权 限 与 控 制 政 策 组 合 ， 这 种 主 动 保 护 方 法 并 不 依 赖 于 对 高 级 恶 意 软 件 的 检 测 能 力 ;   而 是 将 一 切 未 知 的 应 用 程 序 视 为 可 疑 对 象 ， 并 借 此 完 成 信 息 保 护 。 ” N a i m 提 醒 用 户 ， 尽 管 微 软 公 司 是 一 家 伟 大 的 软 件 供 应 商 ， 但 用 户 必 须 意 识 到 ， 虽 然 免 费 微 软 产 品 具 有 价 值 ， 但 并 不 足 以 成 为 可 靠 的 安 全 替 代 品 。 微 软 能 够 打 造 出 优 秀 的 产 品 ， 但 其 在 本 质 上 并 不 属 于 安 全 厂 商 。 其 它 反 病 毒 软 件 也 可 能 受 到 影 响 其 它 反 病 毒 软 件 也 可 能 受 到 影 响 N a i m 还 认 为 ， C y b e r A r k 团 队 此 次 发 现 的 W i n d o w s   D e f e n d e r 回 避 手 段 未 来 还 将 以 新 的 形 式 出 现 。
他 在 采 访 中 解 释 称 ， “ 与 每 一 种 新 型 攻 击 向 量 一 样 ， 其 最 初 亮 相 时 往 往 作 为 高 端 复 杂 性 攻 击 （ A P T ） 出 现 。 但 一 旦 攻 击 方 法 被 实 际 运 用 ， 其 他 攻 击 者 也 将 很 快 跟 随 这 波 风 潮 。 ” C y b e r A r k 公 司 的 研 究 人 员 们 还 警 告 称 ， 其 它 反 病 毒 解 决 方 案 可 能 同 样 会 被 I l l u s i o n   G a p 攻 击 所 愚 弄 ， 但 该 公 司 还 没 有 就 此 作 出 实 际 测 试 。 C y b e r A r k 公 司 研 究 人 员 还 在 Y o u T u b e 上 公 布 了 I l l u s i o n   G a p 攻 击 的 验 证 视 频 。 您 也 可 以 在 这 里 获 取 I l l u s i o n   G a p 的 更 多 相 关 技 术 细 节 信 息 。 【 视 频 1 】 【 视 频 2 】 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 2 7 4 8 7 8 8 0 0 . s h t m l 相 关 阅 读 ：
微 软 最 新 内 核 漏 洞 ： 所 有 W i n d o w s 版 本 受 影 响 C I A   A n g e l f i r e ： 专 门 感 染 W i n d o w s 的 恶 意 软 件 框 架 黑 客 利 用 W i n d o w s 的 新 后 门 攻 击 俄 罗 斯 企 业 C o w e l S n a i l ： 针 对 W i n d o w s 系 统 的 新 后 门 新 型 “ 鬼 钩 ” 攻 击 可 绕 过 W i n d o w s   P a t c h G u a r d 保 护 C I A 泄 露 的 恶 意 间 谍 软 件 “ 雅 典 娜 ” 威 胁 所 有 W i n d o w s 版 本 影 子 经 纪 人 曝 光 N S A 使 用 的 W i n d o w s 系 统 高 危 漏 洞 工 具 与 S t u x n e t 如 出 一 辙 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理