Δεν υπάρχει ενημέρωση κώδικα για το σφάλμα πυρήνα των Windows που επιτρέπει στο κακόβουλο λογισμικό να αποφεύγει τον εντοπισμό ιών

Η Microsoft δεν θα κυκλοφορήσει μια ενημέρωση ασφαλείας παρά μια εταιρεία έρευνας ασφάλειας στον κυβερνοχώρο που ισχυρίζεται ότι ανακάλυψε ένα σφάλμα στο PsSetLoadImageNotifyRoutine API ότι κακόβουλοι προγραμματιστές κακόβουλου λογισμικού θα μπορούσε να χρησιμοποιηθεί για να αποφύγει την ανίχνευση έως λογισμικό anti-malware τρίτων. Η εταιρεία λογισμικού δεν πιστεύει ότι το εν λόγω σφάλμα ενέχει κίνδυνο ασφαλείας.

Ένας ερευνητής ασφάλειας στο enSilo, Omri Misgav, ανακάλυψε ένα «σφάλμα προγραμματισμού» στη διεπαφή χαμηλού επιπέδου PsSetLoadImageNotifyRoutine που μπορεί να παραπλανηθεί από τους εισβολείς για να το επιτρέψουν κακόβουλο λογισμικό για να παρακάμψετε τους ιούς τρίτων χωρίς ανίχνευση.

Όταν λειτουργεί σωστά, το API υποτίθεται ότι ειδοποιεί τα προγράμματα οδήγησης, συμπεριλαμβανομένων εκείνων που χρησιμοποιούνται από λογισμικό anti-malware τρίτων, όταν μια μονάδα λογισμικού φορτώνεται στη μνήμη. Στη συνέχεια, τα προγράμματα προστασίας από ιούς μπορούν να χρησιμοποιήσουν τη διεύθυνση που παρέχεται από το API για παρακολούθηση και σάρωση ενοτήτων πριν από το χρόνο φόρτωσης. Ο Misgav και η ομάδα του ανακάλυψαν ότι το PsSetLoadImageNotifyRoutine δεν επιστρέφει πάντα τη σωστή διεύθυνση.

Η συνέπεια; Οι εξωφρενικοί χάκερ μπορούν να χρησιμοποιήσουν το παραθυράκι για να παραπλανήσουν το λογισμικό προστασίας από κακόβουλο λογισμικό και να το επιτρέψουν κακόβουλο λογισμικό να τρέξει χωρίς ανίχνευση. Η Microsoft λέει ότι οι μηχανικοί της εξέτασαν τις πληροφορίες που παρείχε το enSilo και διαπίστωσαν ότι το υποτιθέμενο σφάλμα δεν αποτελεί απειλή για την ασφάλεια.

Το ίδιο το enSilo δεν έχει δοκιμάσει κάποιο πρόγραμμα προστασίας από ιούς τρίτων για να αποδείξει τους φόβους του, παρόλο που ισχυρίζεται ότι δεν θα πάρει έναν χάκερ ιδιοφυΐας για να το εκμεταλλευτεί αυτό σφάλμα στον πυρήνα των Windows. Δεν είναι σαφές εάν η Microsoft θα κυκλοφορήσει μια ενημερωμένη έκδοση κώδικα για να διορθώσει το σφάλμα σε μελλοντικές ενημερώσεις ή εάν γνώριζαν πάντα το σφάλμα και έχουν εφαρμόσει άλλες διασφαλίσεις για να σταματήσουν την απειλή.

Το ίδιο το API δεν είναι νέο στο λειτουργικό σύστημα Windows. Καταγράφηκε για πρώτη φορά σε λειτουργικό σύστημα το 2000 και διατηρήθηκε για όλες τις επόμενες εκδόσεις, συμπεριλαμβανομένων των τρεχόντων Windows 10. Αυτό θα φαινόταν πάρα πολύ καιρό για ένα ελαττωματικό λειτουργικό σύστημα Windows για να μην αξιοποιηθεί από προγραμματιστές κακόβουλου λογισμικού.

Ίσως δεν έχει υπάρξει ακόμη παραβίαση ασφαλείας μέσω αυτού του σφάλματος του πυρήνα των Windows, επειδή οι hackers δεν το είχαν ανακαλύψει ακόμη. Λοιπόν, τώρα ξέρουν. Και, δεδομένου ότι η Microsoft δεν πρόκειται να κάνει τίποτα για το σφάλμα, απομένει να δούμε τι θα κάνει η ολοένα και πιο επιχειρηματική κοινότητα χάκερ αυτής της ευκαιρίας. Ίσως αυτό να μας πει εάν η Microsoft έχει δίκιο για αυτό το σφάλμα που δεν θέτει απειλή για την ασφάλεια.

ΣΧΕΤΙΚΑ ΑΡΘΡΑ ΠΟΥ ΠΡΕΠΕΙ ΝΑ ΕΛΕΓΧΕΤΕ

• Ενημέρωση Τρίτη Σεπτέμβριος 2017: Λήψη των πιο πρόσφατων ενημερώσεων των Windows
• Η ενημέρωση KB3177358 για Windows 10 επιλύει οκτώ ελαττώματα ασφαλείας στο Microsoft Edge
• Επιδιόρθωση: "Η εξαίρεση της λειτουργίας πυρήνα δεν διαχειρίζεται M" στα Windows 10