Усовершенствованный EternalSynergy способен атаковать новые версии Windows

19 Июля 2017, 12:22

ethernalsynergy

EternalSynergy — это один из инструментом из арсенала АНБ, похищенный у спецслужб группой The Shadow Brokers и опубликованный в открытом доступе в апреле 2017 года. Согласно техническому анализу специалистов Microsoft, эксплоит способен выполнить произвольный код на Windows-машине, если SMB открыт для внешних соединений, эксплуатируя уязвимость CVE-2017-0143. При этом EternalSynergy работал лишь для Windows 8. Исследователи Microsoft отмечали, что ряд изменений в безопасности ядра не позволяют вредоносу влиять на более новые версии ОС.

Тайский исследователь Worawit Wang сумел модифицировать EternalSynergy таким образом, чтобы эксплоит представлял опасность и для более новых версий Windows. Специалист пишет, что в его версии инструмент по-прежнему атакует ту же уязвимость, но использует другую методику атак.

Ван уверяет, что доработанная версия эксплоита не вызывает краха системы, ведь, в его понимании, это совершенно недопустимо. Напомню, что во время эпидемии WannaCry эксплоит EternalBlue демонстрировал успешное срабатывание преимущественно на компьютерах под управлением Windows 7, тогда как Windows XP часто "падала".

EternalSynergy был успешно протестирован и работает для:

  • Windows 2016 x64;
  • Windows 2012 R2 x64;
  • Windows 8.1 x64;
  • Windows 2008 R2 SP1 x64;
  • Windows 7 SP1 x64;
  • Windows 8.1 x86;
  • Windows 7 SP1;

По сути, это означает, что теперь для уязвимости CVE-2017-0143 существуют три актуальных эксплоита: EternalSynergy, EternalRomance и версия Worawit Wang. Сочетая эти инструменты, атакующий сможет скомпрометировать практически любую систему из семейства Windows, не считая разве что Windows 10. Разумеется, если пользователь не установил патч MS17-010.

Установка Windows Subsystem for Linux

15 Июля 2017, 17:22

Windows Subsystem for Linux

Windows Subsystem for Linux (WSL) — слой совместимости для запуска Linux-приложений (двоичных исполняемых файлов в формате ELF) в ОС Windows 10. Здесь работает менеджер пакетов APT, через который удобно ставить огромное количество утилит, да и сами они часто упрощают жизнь.

Подсистема WSL доступна только на 64-битных редакциях Windows 10 и может быть активирована на версиях Windows 10 Anniversary Update и более поздних. Так например на Windows 10 LTSB выйдет сообщение: "Приложение, которое вы пытаетесь запустить, не поддерживается в этой версии Windows."

Сейчас в WSL стало возможно использовать:

  • Утилиты: apt, sed, grep, awk, top, tmux, ssh, scp и другие;
  • Оболочки: bash, zsh, fish и прочие;
  • Инструменты: Vim, Emacs, nano, Git, GDB;
  • Языки: Node.js и npm, Ruby и Gems, Java и Maven, Python и Pip, C/C++, C# и .NET Core и NuGet, Go, Rust, Haskell, Elixir/Erlang;
  • Сервисы: sshd, Apache, lighttpd, nginx, MySQL, PostgreSQL;

Полный список нововведений, которые появились после обновления, можно посмотреть здесь.

Для установки WSL нужно сделать следующие шаги:

Google перестанет доверять всем сертификатам WoSign и StartCom

08 Июля 2017, 21:33

SSL

Согласно сообщению от компании Google, в скором времени (а именно — начиная с выпуска Chrome 61, который ожидается в середине сентября) будет полностью прекращено доверие к сертификатам, выданным удостоверяющими центрами WoSign и StartCom. Речь ведётся о сертификатах, выданных до 21 октября 2016 года, срок действия которых ещё не истёк (более новые сертификаты были заблокированы в прошлом году).

При посещении сайта с таким сертификатом выдается ошибка:

NET::ERR_CERT_AUTHORITY_INVALID

В Chrome 57 (вышедшем в марте 2017 года) частично уже было прекращено доверие к старым сертификатом, но для сайтов, входящих в первый миллион по рейтингу Alexa, было сделано исключение. Теперь данный белый список будет убран и блокировка станет действовать в отношении выданных указанными СФ сертификатов к любому домену.

Стоит напомнить, что аналогичные меры уже действуют со стороны Mozilla: начиная с Firefox 51 (появившемся в января 2017 года) введено ограничение для новых сертификатов WoSign и StartCom, но поддержка сертификатов, выданных до 21 октября 2016 года, пока сохранена.

История началась с того, что в прошлом году представители Mozilla выявили ряд серьёзных нарушений в работе WoSign и StartCom. В ответ компания WoSign инициировала аудит, работу по устранению замечаний и повышению безопасности своей внутренней инфраструктуры, а также начала процесс получения новых корневых сертификатов. Из нарушений можно отметить:
Игнорирование предписания, регламентирующего деятельность удостоверяющих центров, запрещающего использовать при создании сертификатов алгоритм SHA-1 с 1 января 2016 года (WoSign выписывал сертификаты с SHA-1 задним числом);
Получение контроля за другим удостоверяющим центром (StartCom) без раскрытия сведений о совершённой сделке;
Халатное отношение к безопасности, в частности применение устаревших версий сетевых приложений, без надлежащей установки обновлений (используемый на DNS-сервере пакет Bind последний раз обновлялся в 2011 году и содержит 19 неисправленных уязвимостей);

Игру с трояном загрузили из магазина Google Play более 1 млн пользователей

06 Июля 2017, 09:04

android

"Доктор Веб" обнаружил в магазине Google Play игру со встроенным трояном-загрузчиком: программа способна скачивать на мобильное устройство, устанавливать и запускать те или иные модули.

Вредоносное приложение — Android.DownLoader.558.origin — интегрировано в популярную игру BlazBlue RR - Real Action Game. Её загрузили уже более 1 млн владельцев смартфонов и планшетов под управлением операционных систем Android.
Троян является частью специализированного SDK-комплекта под названием Excelliance, предназначенного для автоматизации и упрощения обновления Android-программ. Этот инструмент позволяет загружать необходимые компоненты по отдельности без переустановки всего программного пакета.
Однако, отмечает "Доктор Веб", платформа Excelliance работает как троян-загрузчик, поскольку может скачивать и запускать непроверенные компоненты приложений. Такой способ обновления нарушает правила каталога Google Play.

Зловред начинает работу при первом старте игры, в которую он встроен. После этого он самостоятельно загружается при каждом подключении мобильного устройства к Интернету, даже если пользователь больше не запускает заражённое приложение.
Троянский модуль отслеживает сетевую активность и пытается соединиться с управляющим сервером. В зависимости от настроек программа может загружать различные компоненты: это apk-, dex- и elf-файлы. При этом их запуск в некоторых случаях может выполняться без ведома пользователя. При наличии root-доступа возможна скрытная установка apk-файлов. Таким образом, злоумышленники имеют возможность распространять рекламные модули, сторонние программы и другие троянские компоненты.

Софт на устройствах Dell содержит уязвимости

06 Июля 2017, 08:40

Dell logo

Специалисты Cisco Talos обнаружили ряд уязвимостей в предустановленном на устройствах Dell ПО, в том числе Dell Precision Optimizer, Invincea-X и Invincea Dell Protected Workspace.

Уязвимость CVE-2016-9038 позволяет повысить привилегии и распространяется на Invincea-X и Dell Protected Workspace 6.1.3-24058. Проблема сопряжена с работой драйвера SboxDrv.sys. Дело в том, что \Device\SandboxDriverApi доступен для чтения и записи кому угодно, что позволяет передать произвольное значение в пространство памяти ядра (с помощью специально подготовленных данных) и повысить привилегии в системе.

Проблема CVE-2016-8732 затрагивает защитное решение Invincea Dell Protected Workspace 5.1.1-22303 и объединяет в себе ряд багов в InvProtectDrv.sys. Так, из-за недостаточных ограничений driver communications channel и некорректной валидации атакующий, контролирующий приложение в уязвимой системе, способен заставить драйвер отключить ряд софтверных защитных механизмов. Релиз версии Invincea Dell Protected Workspace 6.3.0 устранил проблему.

Последний баг получил идентификатор CVE-2017-2802, связан с приложением Dell Precision Optimizer и обнаруживается в Dell Precision Tower 5810 с графикой Nvidia, PPO Policy Processing Engine (3.5.5.0), ati.dll (PPR Monitoring Plugin, 3.5.5.0).

После старта Dell PPO Service программа C:\Program Files\Dell\PPO\poaService.exe запускает DLL C:\Program Files\Dell\PPO\ati.dll, а затем производится попытка загрузки atiadlxx.dll, однако этот файл не представлен по умолчанию в директории приложения. В результате производится поиск файла с нужным именем, и если таковой обнаруживается, он запускается через poaService.exe, без проверки сигнатуры. Все это позволяет злоумышленнику выполнить на уязвимой машине произвольный код, просто предоставив DLL с нужным именем. Разработчики Dell уже представили исправление для данной проблемы.