Експлойт позволява изпълнение на зловреден код през SMB без засичане от антивирусната програма

Изследователи по информационна сигурност от CyberArk Labs са установили неизвестна досега уязвимост в Windows, която позволява на атакуващи да доставят и изпълнят известен зловреден код на системи с Windows 8.1 и 10, без Windows Defender да реагира. Според специалистите методът вероятно може да работи и с други антивирусни програми, въпреки че не са провеждани такива тестове. Уязвими към проблема са над 480 000 000 системи, които разчитат на Windows Defender.

Как работи експлойтът

Проблемът се крие в начина, по който Windows Defender сканира споделени SMB масиви. Експлойтът, разработен от CyberArk, заблуждава защитната програма да сканира различен файл от този, съдържащ зловреден код, и по този начин кодът бива изпълнен на системата. Атакуващият може да изпълни вече позната и засичана зловредна програма необезпокоявано чрез SMB сървър. „Представете си ситуация, в която изпълнявате файл и Windows го зарежда, но антивирусната програма сканира друг файл или даже не сканира нищо“, обясняват от CyberArk.

От CyberArk обясняват, че Windows Defender би трябвало да третира зареждането на процеси от SMB масив по същия начин, както от локалните дискове. Компанията обаче открила, че защитната програма използва друг път за изпълнение на код и некоректно справяне с грешки за файлове, зареждащи се от SMB.

Позицията на Microsoft

От Microsoft признават за наличието на уязвимостта, но твърдят, че експлоатирането ѝ е трудно, тъй като атакуващият трябва първо да придобие контрол над вътрешен сървър. „Бъде ли сторено, Windows Defender Antivirus и Windows Defender Advanced Threat Protection ще могат да засекат последващите действия на нападателя“, споделят от компанията.

Методът, по който CyberArk доказват наличието на проблема, включва поставянето на SMB сървър и създаването на псевдосървър за разграничаване на заявките, отправяни от Windows Defender, и тези, идващи от други процеси на Windows. Чрез успешно манипулиране на отговорите на тези заявки специалистите успяват да подлъжат програмата да пропусне зловредния файл.