Ενημερώστε άμεσα το Windows Defender: Η Microsoft κυκλοφόρησε μια σιωπηρή ενημέρωση για μια ευπάθεια που επέτρεπε απομακρυσμένη εκτέλεση κώδικα στον μηχανισμό προστασίας κακόβουλου λογισμικού (Malware Protection Engine) που χρησιμεύει το λογισμικό ασφαλείας των Windows, Windows Defender που είναι διαθέσιμο από προεπιλογή στα Windows 10.
Ανακαλύφθηκε στις 12 Μαΐου από τον γνωστό ερευνητή ασφαλείας του Google Project Zero, Tavis Ormandy. Το ελάττωμα υπήρχε στον εξομοιωτή MsMpEng x86, και θα μπορούσε να αξιοποιηθεί από εισβολείς με κάποιο πειραγμένο εκτελέσιμο αρχείο, κυρίως επειδή δεν ήταν sandboxed.
“Το MsMpEng περιλαμβάνει έναν εξομοιωτή πλήρους συστήματος x86 που χρησιμοποιείται για την εκτέλεση οποιωνδήποτε μη αξιόπιστων αρχείων που μοιάζουν με εκτελέσιμα αρχεία PE. Ο εξομοιωτής εκτελείται σαν NT AUTHORITY\SYSTEM και δεν είναι sandboxed. Αναζητώντας τη λίστα των API win32 που υποστηρίζει ο εξομοιωτής, παρατήρησα το ntdll!NtControlChannel, μια ρουτίνα που μοιάζει με ioctl και επιτρέπει στον εξομοιωμένο κώδικα να ελέγχει τον εξομοιωτή” εξηγεί ο ειδικός ασφαλείας.
“Η εντολή 0x0C σας επιτρέπει να μετατρέψετε ένα RegularExpressions που ελέγχεται από κάποιον επιτιθέμενο σε Microsoft GRETA (μια βιβλιοθήκη που εγκαταλείφθηκε από τις αρχές της δεκαετίας του 2000) …Η εντολή 0x12 σας επιτρέπει να φορτώσετε πρόσθετο μικροκώδικα που μπορεί να αντικαταστήσει τα opcodes … Διάφορες εντολές σας επιτρέπουν να αλλάξετε τις παραμέτρους εκτέλεσης Και να διαβάσετε τα χαρακτηριστικά σάρωσης και τα μεταδεδομένα του UFS. Αυτό μοιάζει τουλάχιστον με διαρροή απορρήτου, καθώς ο επιτιθέμενος μπορεί να αναζητήσει τα ερευνητικά χαρακτηριστικά που ορίσατε και στη συνέχεια να τα ανακτήσει μέσω των αποτελεσμάτων της σάρωσης.”
Ο Ormandy αποκαλεί το ελάττωμα ασφαλείας ως “δυνητικά εξαιρετική κακόβουλη ευπάθεια.” Ο ερευνητής ανέφερε αυτή τη νέα ευπάθεια στη Microsoft ιδιωτικά και η εταιρεία ανέπτυξε μια επιδιόρθωση για το Windows Defender την περασμένη εβδομάδα. Για να παραμείνετε προστατευμένοι, θα πρέπει να έχετε ενεργοποιημένες τις αυτόματες ενημερώσεις και να τρέχετε την πιο πρόσφατη έκδοση του Windows Defender.
Η Microsoft δεν έχει ακόμη εκδώσει ακόμα κάποια επίσημη δήλωση για το θέμα.
