Брандмауэр dr web блокирует доступ в интернет
Антивирус Dr.Web считается мощным и надежным инструментом для защиты устройства от различных угроз. Он быстро обнаруживает новый вирус или вредоносное ПО и в секунды устраняет его. Антивирусная программа от компании Доктор Веб имеет в своем арсенале и ряд других не менее полезных функций, одной из которых является встроенный брандмауэр. Данный компонент занимается контролем обмена данными между сетью и компьютером в целях защиты, но иногда, блокируя подозрительные действия, сильно ограничивает пользователя в работе. Поэтому ничего не остается, как только отключить на время брандмауэр.
Как приобрести лицензию Dr.Web
Dr.Web работает со всеми операционными системами и устанавливается легко. Защитите своё устройство с помощью Dr.Web!
Видео эксплуатации
После настройки двух виртуальных машин пришло время эксплуатации. На этом видео показана возможность обхода патча, которым Dr.Web исправил ошибку из предыдущего отчёта. Расположение виртуальных машин не отличается от представленных в предыдущем видео. Напомню, первая машина находится с левой стороны на видео, а вторая машина – с правой стороны. Действия в видео:
На второй виртуальной машине запускаем netcat(nc64.exe) и прослушиваем порт 4444.
Затем на первой виртуальной машине с помощью whoami показываем, что все действия от обычного пользователя.
Потом показываем версию frwl_svc.exe (12.5.2.4160) в папке C:\Users\drweb_test\AppData\Local\Temp.
Дальше демонстрируем версию frwl_svc.exe (12.5.3.12180) в папке C:\Program Files\DrWeb.
Следующим шагом показываем, что брандмауэр (firewall) включён, исключения отсутствуют и время последнего обновления.
После этого запускаем C:\Users\drweb_test\AppData\Local\Temp \frwl_svc.exe и видим подключение в nc64.exe во второй машине.
Последним шагом передаём команду на создание папки test на первой машине с помощью nc64.exe, который находится на второй машине.
Нужно ли настраивать пакетный фильтр для домашнего компьютера?
В домашних условиях, когда требуется защищать от сетевых атак только один компьютер, настройка пакетного фильтра не требуется. Дело в том, что значительная часть правил содержится в базе брандмауэра, и эти правила активируются по мере надобности. Если правило для какой-либо ситуации отсутствует, брандмауэр выдаст запрос действия.
Современный антивирус для усиления защиты имеет много дополнительных компонентов, среди которых огромную роль играет брандмауэр. Его значение так велико для обеспечения защиты от интернет-угроз, что брандмауэр включен в состав даже базовой защиты — Антивируса Dr.Web.
Почему брандмауэр с каждым днем становится всё более необходимым?
Потому что растет число вредоносных скриптов на сайтах и распространяемых через Интернет вирусов. | 326 |
Потому что почти все ПК имеют выход в Интернет, а значит, мониторинг движения трафика очень важен. | 320 |
Чтобы увеличить общую цену комплекта, других причин нет. | 5 |
Брандмауэр входит в продукты Dr.Web Security Space, Антивирус Dr.Web и Dr.Web Security Space для Android. Без него антивирусная защита компьютера или мобильного устройства будет недостаточной. Задача антивирусных компонентов — поиск вирусов в файлах и памяти ПК.
А как брандмауэр защищает ПК от вирусов и других вредоносных программ?
Косвенно — анализируя трафик и обнаруживая несанкционированные попытки приложений получить доступ к сети или попытки внешнего проникновения на ПК. | 421 |
Напрямую — анализируя трафик и обнаруживая вредоносные скрипты и вирусы на сайтах. | 198 |
Никак. Это вспомогательный компонент. | 5 |
Как известно, антивирус не может защитить от вредоносного ПО на 100%. Всегда остается вероятность, пусть и крайне малая, что самый свежий вирус, использующий еще не обнаруженную разработчиками ПО уязвимость, проникнет на ПК и нанесет вред. А как обстоят дела с эффективностью работы брандмауэра по отражению сетевых атак?
От каких сетевых атак брандмауэр защитить не может?
Может защитить от большинства сетевых атак, если ему не «мешает» пользователь. | 401 |
Брандмауэр быстро становится неэффективен, если долго не обновляется, и может пропустить любую атаку. | 145 |
Может защитить от любых атак. | 58 |
Эффективность работы Брандмауэра Dr.Web зависит от действий пользователя в гораздо большей мере, чем у других компонентов. Чтобы значительно понизить эффективность антивируса, нужно поменять множество настроек и добавить значительное количество исключений. А Брандмауэр Dr.Web сам задает пользователю вопросы и изначально весьма «лоялен» в ограничении доступа к сети.
Какой режим работы брандмауэра является самым безопасным?
Блокировать неизвестные соединения. | 359 |
Интерактивный режим. | 234 |
Разрешать неизвестные соединения. | 4 |
Поскольку основной задачей брандмауэра является мониторинг сетевой активности, очень важна возможность для пользователя просмотреть статистику работы компонента и оценить поведение приложений в сети.
Как, используя брандмауэр, в режиме реального времени отслеживать сетевую активность приложений?
Центр безопасности → Статистика → Брандмауэр. | 285 |
Центр безопасности → Файлы и сеть → Брандмауэр. | 251 |
Такой возможности нет, доступна только общая статистика. | 47 |
Оптимальным с точки зрения баланса безопасность — удобство является режим работы брандмауэра Разрешать соединения для доверенных приложений. Но что означает «доверенные приложения» и кто определяет эту «доверенность»?
Какие приложения являются доверенными?
Верны оба ответа. | 262 |
Приложения с действительной цифровой подписью. | 203 |
Приложения, для которых пользователь настроил «разрешающие» правила. | 108 |
В интерактивном режиме и при доступе к сети для доверенных приложений Брандмауэр Dr.Web часто выдает множество предупреждений для тех или иных программ. Можно постоянно настраивать правила, пока приложение не получит все необходимые права, или разрешить ему полный доступ к сети — это важный для многих пользователей выбор.
В каких случаях приложению можно разрешать полный доступ к сети?
Так можно поступить только в исключительном случае, если по каким-то причинам нормальное взаимодействие необходимого пользователю приложения с брандмауэром невозможно. | 330 |
Так нельзя делать ни в коем случае. | 117 |
Если приложению требуется много разных подключений на разные порты и протоколы. | 73 |
Всегда, это не критично для безопасности — приложение уже проверено брандмауэром. | 41 |
Известно, что обновлять компоненты антивируса и вирусные базы надо постоянно, в автоматическом режим, поскольку обновляются они часто и должны всегда быть актуальными. В то же время большинство программ не требуют таких частых обновлений, а их версии могут меняться раз в несколько лет.
Как долго можно использовать старые версии (ниже версии 12 ) антивирусных продуктов Dr.Web?
Необходимо обновляться сразу при появлении новой версии. | 435 |
Пока активна лицензия. | 89 |
Пока приложение нормально работает. | 30 |
Поскольку Брандмауэр Dr.Web представляет собой сетевой экран, перехватывающий трафик, возможны случаи, когда это будет приводить к конфликтам с другими приложениями. Такие проблемы возникают очень редко, чаще всего — при совместной работе с программами, имеющими сходный функционал, например оптимизаторами/компрессорами трафика. При этом проблемы с доступом к сети иногда возникают у совершенно посторонних программ.
Создать разрешающее правило для приложения. | 426 |
Обратиться в службу поддержки. | 97 |
Настроить пакетный фильтр, разрешив все действия. | 26 |
Брандмауэр входит во все продукты Dr.Web и устанавливается одновременно с другими компонентами. Но бывают ситуации, когда после установки брандмауэр в системе отсутствует.
Данная статья написана в рамках ответственного разглашения информации о уязвимости. Хочу выразить благодарность сотрудникам Dr.Web за оперативное реагирование и исправление обхода брандмауэра (firewall).
В этой статье я продемонстрирую обнаруженную мной возможность обхода брандмауэра (firewall) в продукте Dr.Web Security Space 12 версии.
При исследовании различных техник и методик обхода антивирусных программ я заметил, что Dr.Web Security Space 12 версии блокирует любой доступ в Интернет у самописных приложений, хотя другие антивирусные программы так не реагируют. Мне захотелось проверить, возможно ли обойти данный механизм безопасности?
Что такое интерактивный режим брандмауэра?
В этом режиме вам предоставляется возможность обучить брандмауэр реакции на попытки той или иной программы проявить сетевую активность.
При обнаружении обращения к сетевым ресурсам Брандмауэр Dr.Web проверяет, заданы ли для этих программ правила фильтрации. Если правила отсутствуют, то выводится соответствующий запрос, в котором пользователь может выбрать разовое действие для брандмауэра или создать правило, по которому в дальнейшем подобная сетевая активность приложения будет обрабатываться.
Подготовительные мероприятия
Я начну свой эксперимент с настройки двух виртуальных машин с Windows 10. Первая виртуальная машина служит для демонстрации пользователя с установленным антивирусом Dr.Web. Вторая виртуальная машина будет «ответной стороной», на ней установлен netcat для сетевого взаимодействия с первой виртуалкой. Начальные настройки при установке:
На первую виртуальную машину с IP 192.168.9.2 установлю Dr.Web последней версии, в процессе установки Dr.Web’а выберу следующие пункты:
На вторую виртуальную машину с ip 192.168.9.3 установлю netcat.
Для демонстрации я разработал два исполняемых файла:
Второй файл — это прокси-библиотека version.dll, которая размещается рядом с frwl_svc.exe на первой виртуальной машине. Функциональность та же, что и test_application.exe, только код собран как dll.
Подготовительные мероприятия
Начну проверку своей гипотезы с того, что настрою две виртуальные машины с windows 10 по аналогии с тем, как всё было в демонстрации.
На первую виртуальную машину с ip 192.168.9.2 я установлю Dr.Web последней версии. Процесс установки Dr.Web не отличатся от того, который был описан в предыдущем отчёте. А также в папку Temp я скопирую frwl_svc.exe версии 12.5.2.4160 и version.dll из предыдущего отчета.
На вторую виртуальную машину c ip 192.168.9.3 я установлю netcat.
В каких режимах может работать брандмауэр?
У брандмауэра есть три режима работы:
- Разрешать неизвестные соединения — все неизвестные соединения разрешены. Защита не функционирует.
- Разрешать соединения для доверенных приложений — правила для известных приложений (имеющих действительную цифровую подпись) применяются автоматически. Обо всех неизвестных соединениях пользователю будет выдаваться запрос на выбор действия.
- Интерактивный режим — режим обучения. При попытке операционной системы или приложения проявить сетевую активность брандмауэр будет выдавать пользователю запрос на выбор действия.
- Блокировать неизвестные соединения — все неизвестные соединения будут блокироваться без выдачи запроса пользователю.
Задать режим работы можно в настройках брандмауэра. Если для приложения уже задано правило, брандмауэр будет действовать согласно ему.
Dr.Web блокирует сайты: что делать
Но часто, защищая компьютер от внешнего воздействия, Dr.Web блокирует сайты и программы. Это осуществляется благодаря брандмауэру – встроенному модулю программы. Данный модуль контролирует взаимодействие между сетью и компьютером. Его основная задача – проверка активности сети и предотвращение попыток отправлять информацию с вашего устройства и принимать её из внешних ресурсов. Обычно он ограничивает подозрительные соединения. Но бывает так, что Dr.Web блокирует и безвредный сайт. Решить эту проблему можно, добавив нужный сайт в «Исключения» в настройках антивируса.
Кроме того, Dr.Web иногда блокирует доступ в интернет. Причиной может быть сбой в настройках или особенности ПО. Доступ к интернету блокируется при включенной функции брандмауэра. Если его отключить, выход в сеть будет открыт. Проблема заключается в том, что брандмауэр Dr.Web блокирует интернет при каждой загрузке системы и отключать его потребуется снова. Избежать этого можно, попробовав отключить брандмауэр полностью. Зайдите в меню антивируса, нажмите на кнопку «Компоненты защиты» и передвиньте ползунок брандмауэра в положение «Отключено».
Чтобы брандмауэр не мешал работе, и при этом защита сохранялась на должном уровне, нужно настроить антивирус правильно. А именно, разрешить доступ программам, которым вы доверяете. Для этого необходимо также открыть меню антивируса, в списке «Компоненты защиты» выбрать «Брандмауэр». Далее найти опцию «Правила для приложений» и нажать кнопку «Изменить». В открывшемся списке вы можете найти и изменить необходимые настройки.
Если Dr.Web блокирует сеть, можно попробовать отключить его полностью через систему задач msconfig. Но лучше воспользоваться предусмотренным функционалом и отключить антивирус или его отдельные компоненты на время. Вмешательство в работу msconfig нарушает работоспособность антивируса и всей операционной системы компьютера.
Если Dr.Web блокирует Яндекс.Диск, проблема может быть как в антивирусе, так и в самом Яндексе. Специалисты предлагают проверить настройки программы и добавить в исключения программы страницу Диска. А если в настройках проблем нет, обратиться в техническую поддержку Яндекса.
Случается и так, что Dr.Web блокирует трансляцию видео через сайт. Разработчики рекомендуют добавлять конкретный сайт в «Исключения» в настройках антивируса. Возможно, сайт с видео блокирует родительский контроль. В этом случае попробуйте просто отключить данный модуль.
Если Dr.Web блокирует файл hosts, у вас может возникнуть вопрос, как отключить эту функцию. Программисты советуют также добавить файл в исключения в меню антивирусной программы.
Настройки программы
Вы можете не только перенастроить работу Dr.Веба, но и полностью отключать брандмауэр, если он вам мешает. Отключаем брандмауэр через настройки антивируса:
- Запускаете Доктор Web.
- В левом нижнем углу нажимаете на замочек, чтобы он открылся, и тем самым, предоставляете доступ к правам администратора.
- Теперь выбираете раздел «Центр безопасности», далее переходите в «Файлы и сеть». Если на экране высветилось окно «Контроль учетных записей», нажимаете «Да».
- В разделе «Файлы и сеть», напротив компонента «Брандмауэр» передвигаете ползунок влево, то есть выключаете компонент.
Вот так просто можно отключить сетевой компонент в антивирусе Доктор Web. После отключения брандмауэра в главном окне программы снова нажмите на замочек и закройте его. В зависимости от настроек антивируса, при отключении отдельных функций, утилита может запрашивать код подтверждения или пароль. Подобное срабатывает, если при установке программы вы установили флажок «Защищать паролем настройки».
Брандмауэр заблокировал доступ в Интернет. Что делать?
При блокировке Брандмауэром работы с сетью необходимо сделать следующее.
-
Для сброса настроек щелкните во значку Dr.Web в трее, откройте в меню антивируса пункт Центр безопасности, нажмите на значок в левом нижнем углу окна, а затем — в правом верхнем. В открывшемся окне в разделе Управление настройками выберите Изменить → Восстановить настройки по умолчанию и нажмите ОК.
Внимание! При выполнении этого действия сбросятся пользовательские параметры всех компонентов Dr.Web, их потребуется настроить заново.
После этого при попытке выйти в Интернет могут появляться запросы от Брандмауэра (создать правило, запретить однократно, разрешить однократно). Создайте разрешающие правила для нужных вам приложений, нажав на кнопку Создать правило → Разрешить → OK.
Подробнее об обучении Брандмауэра читайте в документации
Обратитесь в службу технической поддержки, приложив отчет, созданный утилитой DwSysInfo.
Для создания отчета:
Что означает надпись «Цифровая подпись — Неизвестно» при попытке приложения получить доступ в Интернет? Что такое цифровая подпись и на что она влияет?
Цифровая подпись — код, который удостоверяет, что программа была получена из конкретного источника и не изменялась. В то же время подписанное приложение не обязательно безопасно, поэтому пользователю стоит быть внимательным при установке любого, даже подписанного программного обеспечения.
Как создать правило для приложения (программы)?
Чтобы запретить использование сети определенной программе, необходимо создать новое правило. Щелкните по значку Dr.Web на панели задач, выберите Центр безопасности → Файлы и сеть и нажмите на значок .
При появлении окна контроля учетных записей пользователей нажмите на кнопку Да и при необходимости введите пароль администратора.
Выберите ставший активным раздел Брандмауэр и нажмите Изменить в пункте Правила для приложений.
В открывшемся окне нажмите на значок , чтобы добавить новое правило.
В следующем окне укажите путь к исполняемому файлу приложения, в выпадающем списке Запуск сетевых приложений выберите нужное действие:
- Разрешать — при попытке запуска сетевого приложения брандмауэр будет разрешать это действие.
- Блокировать — при попытке запуска сетевого приложения брандмауэр будет запрещать это действие.
- Не задано — при попытке запуска сетевого приложения брандмауэр будет выдавать запрос.
Затем выберите нужное действие в списке Доступ к сетевым ресурсам:
- Разрешать все — будет разрешена любая сетевая активность программы.
- Блокировать все — будет запрещена любая сетевая активность программы.
- Пользовательский — вы можете вручную настроить все параметры работы программы с сетью.
- Не задано — при каждой попытке программы выйти в сеть будет выдаваться запрос.
Нажмите ОК, чтобы изменения вступили в силу.
Если брандмауэр работает в интерактивном режиме, нет необходимости настраивать правила вручную — проще настраивать доступ для каждого приложения в момент его первой сетевой активности, прямо из окна оповещения брандмауэра.
Как восстановить работу брандмауэра
После того как настройка антивируса будет произведена, вы всегда сможете вернуть к работе отключенные компоненты Dr.Веба. Здесь нет ничего сложного, просто нужно выполнить все описанные действия в обратном порядке. То есть, если вы полностью отключили брандмауэр, то необходимо снова войти в Доктор Web, «Центр безопасности», «Файлы и сеть», после чего передвинуть ползунок вправо и сохранить настройки. Перезагрузите компьютер и можете работать в защищенном режиме.
Как настроить правила для сетевых соединений?
Щелкните по значку Dr.Web на панели задач, выберите Центр безопасности → Файлы и сеть и нажмите на значок . При появлении окна контроля учетных записей пользователей нажмите на кнопку Да и при необходимости введите пароль администратора.
Выберите ставший активным раздел Брандмауэр и нажмите Дополнительные настройки. В разделе Параметры работы для известных сетей нажмите Изменить. В открывшемся окне для каждого из сетевых соединений можно указать набор заранее установленных правил:
- Allow all — все пакеты пропускаются.
- Block all — все пакеты блокируются.
- Default rule — правила, описывающие наиболее часто встречающиеся конфигурации сети и распространенные атаки (используются по умолчанию для всех интерфейсов).
Как просмотреть отчет брандмауэра?
Щелкните по значку Dr.Web на панели задач и выберите Центр безопасности → Статистика → Брандмауэр.
Что такое пакетный фильтр?
Это элемент брандмауэра, позволяющий управлять прохождением трафика по указанным протоколам, разрешая или запрещая передачу пакетов, удовлетворяющих заданным условиям. Пакетный фильтр — базовое средство обеспечения безопасности компьютера, работающее независимо от приложений.
Загрузите этот скрипт, сохраните его на рабочем столе и запустите, щелкнув по файлу два раза левой клавишей мыши. На рабочем столе появится файл netfilter.log. Передайте этот файл в службу технической поддержки «Доктор Веб», приложив к соответствующему запросу.
Порядок отключения
Брандмауэром называется компонент, который отвечает за сетевое подключение и его защиту. Он работает наравне со всеми другими функциями антивируса, запускается вместе с загрузкой операционной системы, но при этом может быть отключен пользователем, а также статистика его фильтрации и отдельные настройки. Теперь переходим к действиям. Если вы хотите перенастроить работу брандмауэра, чтобы получить больше возможностей при работе в интернете и при подключении к сетям, то воспользуйтесь следующей инструкцией:
- Запустите антивирус Веб.
- В левом нижнем углу откройте доступ для изменения настроек – нажмите на замочек, чтоб он открылся.
- Теперь переходите в пункт «Центр безопасности» и справа вверху нажимаете на значок шестеренки, переходите в пункт «Общие» и внизу в разделе «Управление настройками», из выпадающего списка, вместо «Изменить» выбираете «Восстановить настройки по умолчанию».
- Подтверждаете свое действие «Ok».
Подобная опция позволяет произвести сброс ранее произведенных пользовательских настроек Доктор Web и заново их настроить.
То есть теперь, когда вы снова войдете в интернет или у вас высветится подключение к новой сети, вы сможете заново произвести настройку доступа. На экране у вас высветится запрос от брандмауэра «Разрешить, «Разрешить однократно», «Запретить» или «Создать правило», на основе чего вы сможете самостоятельно перенастроить работу сетевого компонента в антивирусе.
Отключить брандмауэр Dr.Web через настройки программы
Что такое родительский процесс?
Родительский процесс — это процесс или приложение, которое может запускать другие приложения. Настроить правила для родительских процессов можно в окне создания или редактирования правила для приложения с помощью выпадающего списка Запуск сетевых приложений.
Вывод
Убедившись, что способ работает, можно сделать предположение, что, антивирус доверяет «своим» приложениям, и сетевые запросы, сделанные от имени таких исполняемых файлов, в фильтрацию не попадают. Копирование доверенного файла в подконтрольную пользователю папку с готовой библиотекой — не единственный способ исполнить код в контексте приложения, но один из самых легковоспроизводимых. На этом этапе я собрал все артефакты исследования и передал их специалистам Dr.Web. Вскоре я получил ответ, что уязвимость исправлена в новой версии.
Видео эксплуатации
После подготовительных мероприятий, я, наконец, подошёл к эксплуатации. На этом видео представлена демонстрация возможности обхода брандмауэра (firewall) в продукте Dr.Web Security Space 12 версии. (Dr.Web, version.dll и test_application.exe находится на первой виртуальной машине, которая расположена с левой стороны видео. А netcat находится на второй виртуальной машине, которая расположена с правой стороны видео.)
Вот что происходит на видео:
На второй виртуальной машине запускаем netcat он же nc64.exe и прослушиваем порт 4444.
Затем на первой виртуальной машине в папке C:\Users\root\AppData\Local\Temp распакуем aplications.7z, там находятся version.dll и test_application.exe.
После этого, с помощью whoami показываем, что все действия от обычного пользователя.
Потом копируем C:\Program Files\DrWeb\frwl_svc.exe в папку C:\Users\root\AppData\Local\Temp\aplications.
Дальше демонстрируем, что брандмауэр (firewall) включён, исключения отсутствуют и время последнего обновления антивируса.
Следующим шагом запускаем тестовое приложение test_application.exe и проверяем работоспособность брандмауэр (firewall). Dr.Web заблокировал тестовое приложение, а значит можно сделать вывод, что брандмауэр (firewall) работает корректно.
Запускаем frwl_svc.exe и видим подключение в nc64.exe на второй машине.
Передаём команду на создание папки test на первой машине с помощью nc64.exe, который находится на второй машине.
Для чего нужно отключение брандмауэра
Кроме встроенного брандмауэра операционной системы Windows, данный инструмент содержится и в антивирусной программе, другими словами он называется сетевым брандмауэром Dr.Веб. Такой защитный компонент серьезно относится к любым файлам и процессам, загружаемых через интернет. Если подробнее, то на брандмауэр в свою очередь возложена функция контроля сетевых атак и веб-безопасности. Таким образом, при выявлении любых подозрительных действий срабатывает защита – блокировка или предупреждение при переходе по ссылкам, сайтам или и скачивании файлов. Подобное иногда происходит, даже если никакого вреда активность пользователя в интернете не представляет. Поэтому если вы хотите работать в интернете с сайтами и файлами без ограничений, то вам нужно изменить настройки антивируса Доктор Web, а именно, отключить защитный компонент, отвечающий за брандмауэр.
Как отключить брандмауэр?
Щелкните по значку Dr.Web на панели задач, выберите Центр безопасности → Файлы и сеть и нажмите на значок . При появлении окна контроля учетных записей пользователей нажмите на кнопку Да и при необходимости введите пароль администратора.
Затем сдвиньте переключатель напротив ставшего активным компонента Брандмауэр — его рамка станет красной.
Как сбросить настройки брандмауэра?
Для сброса настроек щелкните во значку Dr.Web в трее, откройте в меню антивируса пункт Центр безопасности, нажмите на значок в левом нижнем углу окна, а затем — в правом верхнем. В открывшемся окне в разделе Управление настройками выберите Изменить → Восстановить настройки по умолчанию и нажмите ОК.
Внимание! При выполнении этого действия сбросятся пользовательские параметры всех компонентов Dr.Web, их потребуется настроить заново.
Появилось окно уведомления брандмауэра. Что с ним делать?
Появление окна уведомления указывает на то, что для приложения, на которое среагировал брандмауэр, не задано правило обработки. Вы можете поступить одним из следующих способов.
- Разрешить однократно — сетевая активность приложения будет разрешена на время текущего сеанса. После перезагрузки компьютера или при повторном вызове программы запрос брандмауэра будет выдан вновь.
- Запретить однократно — запрет сетевой активности программы. Только на текущий сеанс.
- Создать правило — когда вы настроите правило для приложения, брандмауэр будет автоматически срабатывать согласно этому правилу. Выбрав этот пункт, вы увидите окно, в котором вам будет предложен выбор действия:
- Разрешить приложению сетевые подключения на порт *номер порта*
- Запретить приложению сетевые подключения на порт *номер порта*
- Разрешить приложению все сетевые подключения
- Запретить приложению все сетевые подключения
- Создать свое правило — вы можете создать новое правило для работы брандмауэра с текущей программой.
Примечание. Всегда старайтесь создавать правила, чтобы автоматизировать работу брандмауэра.
Неизвестное приложение постоянно пытается выйти в Интернет. Что это может быть и что делать в этом случае?
Возможно, что это какая-либо вредоносная программа. Рекомендуется провести полную проверку системы антивирусным сканером Dr.Web.
Разведка
Во время анализа работы антивирусной программы Dr.Web, я обнаружил, что некоторые исполняемые файлы (.exe), в папке C:\Program Files\DrWeb, потенциально могут быть подвержены Dll hijacking.
Dll Hijacking — это атака, основанная на способе поиска и загрузки динамически подключаемых библиотек приложениями Windows. Большинство приложений Windows при загрузке dll не используют полный путь, а указывают только имя файла. Из-за этого перед непосредственно загрузкой происходит поиск соответствующей библиотеки. С настройками по умолчанию поиск начинается с папки, где расположен исполняемый файл, и в случае отсутствия файла поиск продолжается в системных директориях. Такое поведение позволяет злоумышленнику разместить поддельную dll и почти гарантировать, что библиотека с нагрузкой загрузится в адресное пространство приложения и код злоумышленника будет исполнен.
Например, возьмём один из исполняемых файлов – frwl_svc.exe версии 12.5.2.4160. С помощью Process Monitor от Sysinternals проследим поиск dll.
Однако, у обычного пользователя нет разрешений для того чтобы подложить свой DLL файл в папку C:\Program Files\DrWeb. Но рассмотрим вариант, в котором frwl_svc.exe будет скопирован в папку под контролем пользователя, к примеру, в папку Temp, а рядом подложим свою библиотеку version.dll. Такое действие не даст мне выполнение программы с какими-то новыми привилегиями, но так мой код из библиотеки будет исполнен в контексте доверенного приложения.
Как запретить программе выход в Интернет?
Чтобы запретить использование сети определенной программе, необходимо создать новое правило. Щелкните по значку Dr.Web на панели задач, выберите Центр безопасности → Файлы и сеть и нажмите на значок .
При появлении окна контроля учетных записей пользователей нажмите на кнопку Да и при необходимости введите пароль администратора.
Выберите ставший активным раздел Брандмауэр и нажмите Изменить в пункте Правила для приложений.
В открывшемся окне нажмите на значок , чтобы добавить новое правило.
В следующем окне укажите путь к исполняемому файлу приложения, в выпадающем списке Запуск сетевых приложений выберите Блокировать, а в списке Доступ к сетевым ресурсам — Блокировать все.
Нажмите ОК, чтобы изменения вступили в силу.
Вывод
В результате проверки исправлений я обнаружил, что патч исправляет не саму проблему с доверенными приложениям, а только мой способ реализации данной уязвимости. Старая версия frwl_svc.exe отлично обходила ограничения. Все собранные сведения были переданы команде Dr Web. Вскоре была выпущена новая версия исправления, которая уже не обходилась моим методом.
Timeline
16.02.2021: Передача отчета в Dr.Web.
25.02.2021: Dr.Web сообщает, что данная возможность обхода firewall исправлена.
11.03.2021: Получение CVE 2021-28130.
14.03.2021: Проверка исправлений.
15.03.2021: Передача отчета в Dr.Web.
06.04.2021: Dr.Web сообщает, что данная возможность обхода firewall исправлена.
Вирусные базы постоянно обновляются. Ресурсы устройства расходуются экономно при работе антивируса как в фоновом, так и в активном режиме. В результате оптимизации модуля сканирования проверка файлов на наличие угроз происходит быстрее. Качество проверки при этом не страдает.
Модульность программы позволяет включать и отключать различные компоненты защиты, не отключая антивирус при этом полностью. Например, если компьютером пользуется только взрослый, функцию родительского контроля можно выключить, она не нужна. Отключение отдельных компонентов, а не всего антивируса, оставляет ваше устройство под надёжной защитой.
В настройках безопасности есть раздел «Устройства и личные данные». С его помощью можно блокировать веб-камеру и микрофон. Это защитит от несанкционированного подключения к данным устройствам.
Могу ли я установить Dr.Web Firewall без установки антивируса?
Брандмауэр Dr.Web является компонентом программного комплекса Dr.Web, и установить брандмауэр без установки антивируса невозможно.
Проверка исправлений
Вижу, что frwl_svc.exe версии 12.5.3.12180 больше не загружает стандартные dll. Это исправляет сам подход с dll hijacking, но появилась гипотеза, что логика работы с доверенными приложениями осталась. Для проверки я воспользовался старой версией frwl_svc.exe.
Читайте также: