Изследователите по сигурността откриха, че нападателите могат да използват инструмента за проверка на приложения на Microsoft за превземане на различни антивирусни продукти. Базираната в Израел фирма за сигурност Cybellum твърди, че нов метод за атака, наречен DoubleAgent, се възползва от инструменти на Windows, създадени за предотвратяване на вирусни атаки - включително McAfee, Panda, Avast, AVG, Avira, F-Secure, Kaspersky, Malwarebytes, Bitdefender, Trend Micro, Comodo и ESET - и ги накарайте да действат като зловреден софтуер.

Cybellum казва, че атаката на DoubleAgent е способна да компрометира и други антивирусни продукти. Методът работи чрез манипулиране на Microsoft Application Verifier - система за проверка по време на изпълнение, която функционира за откриване на грешки и повишаване на сигурността на трети програми на Windows. Инструментът е включен в Windows XP до Windows 10.

Как работи DoubleAgent

Cybellum обясни начина, по който работи DoubleAgent:

Нашите изследователи откриха недокументирана способност на приложението за проверка на приложения, което дава на нападателя възможността да замени стандартния проверител със собствения си персонализиран верификатор. Нападателят може да използва тази способност, за да инжектира потребителски проверка във всяко приложение. След като потребителският верификатор бъде инжектиран, нападателят вече има пълен контрол върху приложението. Application Verifier е създаден с цел да засили сигурността на приложението чрез откриване и коригиране на грешки и по ирония на съдбата DoubleAgent използва тази функция за извършване на злонамерени операции.

Проблемът не се крие в Windows, а в доставчиците на сигурност, които предлагат антивирусните продукти. Cybellum твърди, че DoubleAgent може да се използва за атака на организации, които използват чувствителните антивирусни програми. Malwarebytes, AVG и Trend Micro са някои от доставчиците, които отстраниха проблема за съответните си продукти. Изглежда, че Windows Defender е единственият антивирусен продукт, който е имунизиран срещу DoubleAgent поради използването на механизъм на Windows, наречен Защитени процеси. Механизмът защитава анти-злонамерен софтуер, които работят в потребителски режим.

смекчаване

Microsoft предлага защитените процеси като начин да позволи надеждно зареждане с подписан код. Следователно, нападателите не могат да използват DoubleAgent срещу антивируса, дори ако атакуващият намери нова техника с нулев ден като свой код. Код за атака с доказателство за концепция вече е наличен на GitHub, с любезното съдействие на Cybellum.