搜索

[3655] 2017-03-23_双面代理攻击：利用微软内置工具劫持网络安全产品

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-16
2017-03-23_双面代理攻击：利用微软内置工具劫持网络安全产品 双 面 代 理 攻 击 ： 利 用 微 软 内 置 工 具 劫 持 网 络 安 全 产 品 原 创   E 安 全   E 安 全   2 0 1 7 - 0 3 - 2 3 E 安 全 安 全 3 月 月 2 2 日 讯 日 讯   以 色 列 网 络 安 全 技 术 公 司 以 色 列 网 络 安 全 技 术 公 司 C y b e l l u m 近 期 近 期 发 现 攻 击 者 能 够 利 用 一 种 新 技 术 完 全 控 制 安 全 产 品 。 发 现 攻 击 者 能 够 利 用 一 种 新 技 术 完 全 控 制 安 全 产 品 。 这 种 用 于 攻 击 活 动 的 新 技 术 被 称 为 “ 双 面 代 理 ” ， 据 悉 多 家 厂 商 的 产 品 受 到 影 响 ， 其 中 包 括 A v a s t 、 A V G 、 A v i r a 、 B i t d e f e n d e r 、 趋 势 科 技 、 赛 门 铁 克 （ 诺 顿 ） 、 C o m o d o 、 E S E T 、 F - S e c u r e 、 卡 巴 斯 基 、 M a l w a r e b y t e s 、 迈 克 菲 、 P a n d a 、 Q u i c k 和 H e a t 。 然 而 C y b e l l u m 公 司 表 示 只 有 少 数 几 家 受 影 响 的 厂 商 发 布 了 补 丁 。 攻 击 中 涉 及 微 软 应 用 程 序 验 证 程 序   ( M i c r o s o f t   A p p l i c a t i o n   V e r i f i e r ) ， 这 是 一 款 可 以 帮 助 开 发 人 员 找 出 在 正 常 程 序 代 码 检 测 中 难 以 察 觉 的 错 误 。 这 款 工 具 由 W i n d o w s   X P 推 出 ， 默 认 安 装 并 在 所 有 的 操 作 系 统 上 启 用 。 这 款 工 具 会 将 一 个 所 谓 的 “ 验 证 程 序 提 供 商 D L L ” 下 载 到 目 标 应 用 程 序 的 进 程 中 用 于 运 行 时 间 测 试 。 一 旦 被 创 建 ， 这 个 D L L 就 会 被 当 做 一 个 提 供 商 D L L 被 某 个 特 定 进 程 添 加 到 W i n d o w s 注 册 表 中 。 W i n d o w s 随 后 会 自 动 将 D L L 注 入 所 有 带 有 被 注 册 名 称 的 进 程 中 。 C y b e l l u m 指 出 ， 这 就 允 许 特 权 用 户 执 行 恶 意 软 件 ， 以 在 防 病 毒 或 其 它 端 点 安 全 产 品 相 关 的 进 程 中 注 册 恶 意 D L L ， 并 劫 持 代 理 。 这 种 攻 击 方 法 对 任 何 进 程 都 不 利 。 某 些 安 全 产 品 试 图 保 护 跟 进 程 相 关 的 注 册 密 钥 ， 但 研 究 人 员 已 找 到 轻 松 绕 过 这 个 保 护 措 施 的 方 法 。 一 旦 恶 意 软 件 劫 持 了 安 全 产 品 ， 就 能 够 用 于 多 种 任 务 中 ， 包 括 以 攻 击 者 身 份 执 行 恶 意 行 为 、 更 改 白 名 单 / 黑 名 单 和 内 部 逻 辑 、 安 装 后 门 、 提 取 数 据 、 将 恶 意 软 件 传 播 到 其 它 设 备 中 ， 并 且 加 密 或 删 除 文 件 （ 如 勒 索 软 件 ） 。 遗 憾 的 是 这 种 攻 击 很 难 拦 截 遗 憾 的 是 这 种 攻 击 很 难 拦 截
C y b e l l u m 公 司 表 示 这 种 攻 击 很 难 拦 截 ， 即 使 是 重 启 系 统 、 更 新 软 件 或 重 装 目 标 产 品 后 恶 意 代 码 仍 会 被 注 入 到 进 程 中 。 “ 双 面 代 理 ” 攻 击 是 恶 意 软 件 升 级 为 A P T 缺 失 的 一 环 。 这 种 攻 击 依 赖 于 合 法 工 具 ， 其 适 用 于 所 有 的 W i n d o w s 版 本 ， 包 括 W i n d o w s   1 0 以 及 其 他 架 构 ， 因 此 微 软 对 此 也 无 能 为 力 。 C y b e l l u m 公 司 表 示 随 后 将 发 布 其 余 技 术 细 节 和 P o C 利 用 代 码 , 并 已 告 知 所 有 受 影 响 的 杀 毒 厂 商 ， 但 截 至 目 前 只 有 M a l w a r e b y t e s 和 A V G 发 布 了 补 丁 ， 另 外 趋 势 科 技 承 诺 于 下 周 修 复 问 题 。 C y b e l l u m 计 划 给 予 厂 商 9 0 天 的 时 间 确 保 他 们 的 产 品 不 受 潜 在 攻 击 的 影 响 。 其 中 的 一 些 受 影 响 产 品 已 被 分 配 了   C V E 编 号 ， 例 如 ： C V E - 2 0 1 7 - 6 1 6 8   ( B i t d e f e n d e r ) ； C V E - 2 0 1 7 - 6 4 1 7   ( A v i r a ) ； C V E - 2 0 1 7 - 5 5 6 7   ( A v a s t ) ； C V E - 2 0 1 7 - 5 5 6 6   ( A V G )   ； C V E - 2 0 1 7 - 5 5 6 5 （ 趋 势 科 技 ） 。 除 了 修 复 方 案 外 ， C y b e l l u m 表 示 此 类 攻 击 能 通 过 受 保 护 进 程 阻 止 。 这 是 微 软 在 W i n d o w s   8 . 1 中 推 出 的 反 恶 意 软 件 服 务 措 施 。 该 公 司 表 示 这 种 保 护 措 施 目 前 仅 能 在 W i n d o w s   D e f e n d e r 中 实 现 。 E 安 全 注 ： 本 文 系 安 全 注 ： 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理