Dr web постоянно просит разрешение
Данная статья написана в рамках ответственного разглашения информации о уязвимости. Хочу выразить благодарность сотрудникам Dr.Web за оперативное реагирование и исправление обхода брандмауэра (firewall).
В этой статье я продемонстрирую обнаруженную мной возможность обхода брандмауэра (firewall) в продукте Dr.Web Security Space 12 версии.
При исследовании различных техник и методик обхода антивирусных программ я заметил, что Dr.Web Security Space 12 версии блокирует любой доступ в Интернет у самописных приложений, хотя другие антивирусные программы так не реагируют. Мне захотелось проверить, возможно ли обойти данный механизм безопасности?
Разведка
Во время анализа работы антивирусной программы Dr.Web, я обнаружил, что некоторые исполняемые файлы (.exe), в папке C:\Program Files\DrWeb, потенциально могут быть подвержены Dll hijacking.
Dll Hijacking — это атака, основанная на способе поиска и загрузки динамически подключаемых библиотек приложениями Windows. Большинство приложений Windows при загрузке dll не используют полный путь, а указывают только имя файла. Из-за этого перед непосредственно загрузкой происходит поиск соответствующей библиотеки. С настройками по умолчанию поиск начинается с папки, где расположен исполняемый файл, и в случае отсутствия файла поиск продолжается в системных директориях. Такое поведение позволяет злоумышленнику разместить поддельную dll и почти гарантировать, что библиотека с нагрузкой загрузится в адресное пространство приложения и код злоумышленника будет исполнен.
Например, возьмём один из исполняемых файлов – frwl_svc.exe версии 12.5.2.4160. С помощью Process Monitor от Sysinternals проследим поиск dll.
Однако, у обычного пользователя нет разрешений для того чтобы подложить свой DLL файл в папку C:\Program Files\DrWeb. Но рассмотрим вариант, в котором frwl_svc.exe будет скопирован в папку под контролем пользователя, к примеру, в папку Temp, а рядом подложим свою библиотеку version.dll. Такое действие не даст мне выполнение программы с какими-то новыми привилегиями, но так мой код из библиотеки будет исполнен в контексте доверенного приложения.
Брандмауэр заблокировал доступ в Интернет. Что делать?
При блокировке Брандмауэром работы с сетью необходимо сделать следующее.
-
Для сброса настроек щелкните во значку Dr.Web в трее, откройте в меню антивируса пункт Центр безопасности, нажмите на значок в левом нижнем углу окна, а затем — в правом верхнем. В открывшемся окне в разделе Управление настройками выберите Изменить → Восстановить настройки по умолчанию и нажмите ОК.
Внимание! При выполнении этого действия сбросятся пользовательские параметры всех компонентов Dr.Web, их потребуется настроить заново.
После этого при попытке выйти в Интернет могут появляться запросы от Брандмауэра (создать правило, запретить однократно, разрешить однократно). Создайте разрешающие правила для нужных вам приложений, нажав на кнопку Создать правило → Разрешить → OK.
Подробнее об обучении Брандмауэра читайте в документации
Обратитесь в службу технической поддержки, приложив отчет, созданный утилитой DwSysInfo.
Для создания отчета:
В каких режимах может работать брандмауэр?
У брандмауэра есть три режима работы:
- Разрешать неизвестные соединения — все неизвестные соединения разрешены. Защита не функционирует.
- Разрешать соединения для доверенных приложений — правила для известных приложений (имеющих действительную цифровую подпись) применяются автоматически. Обо всех неизвестных соединениях пользователю будет выдаваться запрос на выбор действия.
- Интерактивный режим — режим обучения. При попытке операционной системы или приложения проявить сетевую активность брандмауэр будет выдавать пользователю запрос на выбор действия.
- Блокировать неизвестные соединения — все неизвестные соединения будут блокироваться без выдачи запроса пользователю.
Задать режим работы можно в настройках брандмауэра. Если для приложения уже задано правило, брандмауэр будет действовать согласно ему.
Как отключить брандмауэр?
Щелкните по значку Dr.Web на панели задач, выберите Центр безопасности → Файлы и сеть и нажмите на значок . При появлении окна контроля учетных записей пользователей нажмите на кнопку Да и при необходимости введите пароль администратора.
Затем сдвиньте переключатель напротив ставшего активным компонента Брандмауэр — его рамка станет красной.
Что такое интерактивный режим брандмауэра?
В этом режиме вам предоставляется возможность обучить брандмауэр реакции на попытки той или иной программы проявить сетевую активность.
При обнаружении обращения к сетевым ресурсам Брандмауэр Dr.Web проверяет, заданы ли для этих программ правила фильтрации. Если правила отсутствуют, то выводится соответствующий запрос, в котором пользователь может выбрать разовое действие для брандмауэра или создать правило, по которому в дальнейшем подобная сетевая активность приложения будет обрабатываться.
Появилось окно уведомления брандмауэра. Что с ним делать?
Появление окна уведомления указывает на то, что для приложения, на которое среагировал брандмауэр, не задано правило обработки. Вы можете поступить одним из следующих способов.
- Разрешить однократно — сетевая активность приложения будет разрешена на время текущего сеанса. После перезагрузки компьютера или при повторном вызове программы запрос брандмауэра будет выдан вновь.
- Запретить однократно — запрет сетевой активности программы. Только на текущий сеанс.
- Создать правило — когда вы настроите правило для приложения, брандмауэр будет автоматически срабатывать согласно этому правилу. Выбрав этот пункт, вы увидите окно, в котором вам будет предложен выбор действия:
- Разрешить приложению сетевые подключения на порт *номер порта*
- Запретить приложению сетевые подключения на порт *номер порта*
- Разрешить приложению все сетевые подключения
- Запретить приложению все сетевые подключения
- Создать свое правило — вы можете создать новое правило для работы брандмауэра с текущей программой.
Примечание. Всегда старайтесь создавать правила, чтобы автоматизировать работу брандмауэра.
Видео эксплуатации
После настройки двух виртуальных машин пришло время эксплуатации. На этом видео показана возможность обхода патча, которым Dr.Web исправил ошибку из предыдущего отчёта. Расположение виртуальных машин не отличается от представленных в предыдущем видео. Напомню, первая машина находится с левой стороны на видео, а вторая машина – с правой стороны. Действия в видео:
На второй виртуальной машине запускаем netcat(nc64.exe) и прослушиваем порт 4444.
Затем на первой виртуальной машине с помощью whoami показываем, что все действия от обычного пользователя.
Потом показываем версию frwl_svc.exe (12.5.2.4160) в папке C:\Users\drweb_test\AppData\Local\Temp.
Дальше демонстрируем версию frwl_svc.exe (12.5.3.12180) в папке C:\Program Files\DrWeb.
Следующим шагом показываем, что брандмауэр (firewall) включён, исключения отсутствуют и время последнего обновления.
После этого запускаем C:\Users\drweb_test\AppData\Local\Temp \frwl_svc.exe и видим подключение в nc64.exe во второй машине.
Последним шагом передаём команду на создание папки test на первой машине с помощью nc64.exe, который находится на второй машине.
Видео эксплуатации
Демонстрация проходит на ОС Windows 10 x64 от пользователя без прав администратора.
0:00-0:12 через консоль Windows показываю, что текущий пользователь не является администратором
0:12-0:24 показываю установленную версию Dr.Web Security Space
0:24-0:29 в папке на рабочем столе находится файл drweb_eop_upd_dll.dll (исходные коды и файл приложены к тикету)
0:29-0:34 показываю, что в папке C:\ProgramData\Doctor Web\Updater\etc находится 3 файла
0:34-0:47 копирую библиотеку drweb_eop_upd_dll.dll в папке на рабочем столе и один экземпляр называю version.dll, другой — cryptui.dll
0:47-0:56 копирую файл C:\Program Files\Common Files\Doctor Web\Updater\drwupsrv.exe в папку на рабочем столе, рядом с dll.
0:56-1:00 запускаю скопированный файлЗапускаемый файл drwupsrv.exe из папки на рабочем столе загружает расположенную рядом version.dll. Данная библиотека создает файл C:\ProgramData\Doctor Web\Updater\etc\drwupsrv.xml.new. На папку C:\ProgramData и вглубь у пользователя есть права на создание файлов, поэтому это легальная операция. Если попробовать создать такой файл вручную, то, вероятно, защитные механизмы Dr.Web предотвращают такую операцию. Но в эксплуатации создание файла проходит от имени drwupsrv.exe, что вероятно обходит внутренние проверки и файл создается. Фактически, это обход той самой проверки подписи о которой и идет речь в начале статьи.
1:00-1:22 демонстрирую созданный файл и его содержимое. В общем смысле файл совпадает по содержимому с файлом C:\ProgramData\Doctor Web\Updater\etc\drwupsrv.xml, но все пути указывают папку на рабочем столе (C:\Users\User\Desktop\dwtest)
1:22-2:00 ничего не происходит (на этом этапе я ожидаю процесса обновления ПО, который по умолчанию происходит раз в полчаса и ожидаемое время можно найти в логах)
2:00-2:14 судя по всему, взяв созданный файл конфигурации, обновлятор видит, что в папке C:\Users\User\Desktop\dwtest нет файлов ПО Dr.Web, начинает туда файлы ПО копировать.Среди копируемых файлов есть файл dwservice.exe, который запускается в момент обновления от имени пользователя NT AUTHORITY\SYSTEM. Данный файл загружает в себя библиотеку cryptui.dll, которая была в папке C:\Users\User\Desktop\dwtest. Код библиотеки просто запускает интерактивную консоль, которую и видно на экране. Командой whoami убеждаюсь, что получены права системы.
Отчет об уязвимости был отправлен в Доктор Веб и, вроде бы, разработчики все поправили.
15.05.2020 — Обращение в техподдержку с просьбой предоставить security-контакт.
20.05.2020 — Получаю ответ, что можно передать отчет в данном обращении
20.05.2020 — Передаю отчет
14.06.2020 — Получаю ответ, что для 12 версии уязвимость исправлена. Ожидают портирование для версии 11.
07.07.2020 — Разработчики подтверждают, что исправления выпущены.Антивирусная правДА! рекомендует
Добавив файл hosts в исключения антивируса, вы тем самым позволяете изменять его кому угодно. Поэтому обязательно наличие Превентивной защиты Dr.Web, контролирующей попытки изменения системного файла на лету и (при соответствующих настройках) блокирующего их или предупреждающего пользователя. Этот модуль присутствует в Dr.Web Security Space и Dr.Web KATANA.
Внесение таких исключений при защите Антивирусом Dr.Web – небезопасно и категорически не рекомендуется.
Оцените выпуск
Сделайте репост
Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.
Как настроить правила для сетевых соединений?
Щелкните по значку Dr.Web на панели задач, выберите Центр безопасности → Файлы и сеть и нажмите на значок . При появлении окна контроля учетных записей пользователей нажмите на кнопку Да и при необходимости введите пароль администратора.
Выберите ставший активным раздел Брандмауэр и нажмите Дополнительные настройки. В разделе Параметры работы для известных сетей нажмите Изменить. В открывшемся окне для каждого из сетевых соединений можно указать набор заранее установленных правил:
- Allow all — все пакеты пропускаются.
- Block all — все пакеты блокируются.
- Default rule — правила, описывающие наиболее часто встречающиеся конфигурации сети и распространенные атаки (используются по умолчанию для всех интерфейсов).
Что означает надпись «Цифровая подпись — Неизвестно» при попытке приложения получить доступ в Интернет? Что такое цифровая подпись и на что она влияет?
Цифровая подпись — код, который удостоверяет, что программа была получена из конкретного источника и не изменялась. В то же время подписанное приложение не обязательно безопасно, поэтому пользователю стоит быть внимательным при установке любого, даже подписанного программного обеспечения.
Нужно ли настраивать пакетный фильтр для домашнего компьютера?
В домашних условиях, когда требуется защищать от сетевых атак только один компьютер, настройка пакетного фильтра не требуется. Дело в том, что значительная часть правил содержится в базе брандмауэра, и эти правила активируются по мере надобности. Если правило для какой-либо ситуации отсутствует, брандмауэр выдаст запрос действия.
А когда включаешь защиту файла hosts в Dr.Web, то вот он все внесенные изменения-то и исправляет, возвращая начальные условия.
Файл hosts – один из важнейших в системе. Внесенные в него данные позволяют блокировать доступ к сайтам – или перенаправлять пользователей на сайты, заданные злоумышленниками.
Как выглядит файл hosts после заражения компьютера вирусом. Кстати, иногда и обычные программы вписывают необходимые им параметры в файлик. Если после открытия файла Вы видите примерно следующее, то стоит задуматься.
Вирусы пошли хитрые, поэтому прячут добавленные строки ниже:
Проблема в том, что антивирус не может определить, кто и с какой целью изменил файл hosts. Сделал ли это вручную сам пользователь или хакер, получивший доступ на компьютер, либо же виновата вредоносная программа.
Ниже пример работы вируса Trojan.Hosts.75, который стал проблемой многих юзеров в свое время. Trojan.Hosts.75 перенаправляет пользователя на фишинговую страницу, оформленную в фирменном стиле этой социальной сети. Здесь, будто бы от лица администрации сайта, пользователю предлагается зарегистрироваться в системе при помощи SMS-активации. Объясняется это «нововведение» увеличением количества спам-рассылок.
После запуска Trojan.Hosts.75 вирус распаковывает на диск bat-файл, который, в свою очередь, модифицирует файл hosts. После изменения он выглядит следующим образом:
В связи с этим при обнаружении внесения изменений в hosts либо антивирусный сканер, либо файловый монитор SpIDer Guard восстанавливают состояние этого файла по умолчанию.
Что же делать, если вы хотите настроить файл hosts самостоятельно?
Первым делом необходимо внести файл в исключения антивирусного сканера или SpIDer Guard. Заходим в настройки Dr.Web Security Space и переходим в раздел Исключения → Файлы и папки. По умолчанию этот раздел пуст.
Нажимаем на «плюс», далее на кнопку Обзор и находим файл hosts (в Windows 10 он по умолчанию находится в папке %SystemRoot%\System32\drivers\etc).
Отмечаем оба пункта Исключить из проверки и нажимаем ОК.
Но за изменениями файла в режиме реального времени следит Превентивная защита Dr.Web (Настройки → Компоненты защиты ⇆ Превентивная защита → Изменить параметры блокировки подозрительных действий). Откроем файл hosts, внесем в него вредную строку и попробуем сохранить. Чтобы открыть файл hosts в блокноте, выберите Файл → Открыть, перейдите к папке с этим файлом, в поле с типом файла поставьте Все файлы и выберите тот файл hosts, который не имеет никакого расширения.
Не получилось. Почему? Для изменения файла hosts необходимо открыть его в текстовом редакторе, запущенном от имени Администратора (обязательно). Для примера отредактируем файл с помощью стандартного редактора «Блокнот». В поиске Windows 10 начните набирать «Блокнот», а после того как программа появится в результатах поиска, кликните по ней правой кнопкой мыши и выберите действие Запустить от имени администратора.
Вот теперь редактор готов сохранять изменения. Переходим в настройки Превентивной защиты:
Разрешаем доступ к файлу hosts, вносим нужные изменения и снова включаем запрет в Превентивной защите – она будет сохранять файл в неизменном виде.
А теперь – самое важное.
Могу ли я установить Dr.Web Firewall без установки антивируса?
Брандмауэр Dr.Web является компонентом программного комплекса Dr.Web, и установить брандмауэр без установки антивируса невозможно.
Нам важно ваше мнение
Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.
Подготовительные мероприятия
Я начну свой эксперимент с настройки двух виртуальных машин с Windows 10. Первая виртуальная машина служит для демонстрации пользователя с установленным антивирусом Dr.Web. Вторая виртуальная машина будет «ответной стороной», на ней установлен netcat для сетевого взаимодействия с первой виртуалкой. Начальные настройки при установке:
На первую виртуальную машину с IP 192.168.9.2 установлю Dr.Web последней версии, в процессе установки Dr.Web’а выберу следующие пункты:
На вторую виртуальную машину с ip 192.168.9.3 установлю netcat.
Для демонстрации я разработал два исполняемых файла:
Второй файл — это прокси-библиотека version.dll, которая размещается рядом с frwl_svc.exe на первой виртуальной машине. Функциональность та же, что и test_application.exe, только код собран как dll.
Разведка
Во время анализа работы антивирусной программы Dr.Web, я обнаружил, что некоторые исполняемые файлы (.exe), в папке C:\Program Files\DrWeb, потенциально могут быть подвержены Dll hijacking.
Dll Hijacking — это атака, основанная на способе поиска и загрузки динамически подключаемых библиотек приложениями Windows. Большинство приложений Windows при загрузке dll не используют полный путь, а указывают только имя файла. Из-за этого перед непосредственно загрузкой происходит поиск соответствующей библиотеки. С настройками по умолчанию поиск начинается с папки, где расположен исполняемый файл, и в случае отсутствия файла поиск продолжается в системных директориях. Такое поведение позволяет злоумышленнику разместить поддельную dll и почти гарантировать, что библиотека с нагрузкой загрузится в адресное пространство приложения и код злоумышленника будет исполнен.
Например, возьмём один из исполняемых файлов – frwl_svc.exe версии 12.5.2.4160. С помощью Process Monitor от Sysinternals проследим поиск dll.
Однако, у обычного пользователя нет разрешений для того чтобы подложить свой DLL файл в папку C:\Program Files\DrWeb. Но рассмотрим вариант, в котором frwl_svc.exe будет скопирован в папку под контролем пользователя, к примеру, в папку Temp, а рядом подложим свою библиотеку version.dll. Такое действие не даст мне выполнение программы с какими-то новыми привилегиями, но так мой код из библиотеки будет исполнен в контексте доверенного приложения.
Вывод
Убедившись, что способ работает, можно сделать предположение, что, антивирус доверяет «своим» приложениям, и сетевые запросы, сделанные от имени таких исполняемых файлов, в фильтрацию не попадают. Копирование доверенного файла в подконтрольную пользователю папку с готовой библиотекой — не единственный способ исполнить код в контексте приложения, но один из самых легковоспроизводимых. На этом этапе я собрал все артефакты исследования и передал их специалистам Dr.Web. Вскоре я получил ответ, что уязвимость исправлена в новой версии.
Как просмотреть отчет брандмауэра?
Щелкните по значку Dr.Web на панели задач и выберите Центр безопасности → Статистика → Брандмауэр.
Проверка исправлений
Вижу, что frwl_svc.exe версии 12.5.3.12180 больше не загружает стандартные dll. Это исправляет сам подход с dll hijacking, но появилась гипотеза, что логика работы с доверенными приложениями осталась. Для проверки я воспользовался старой версией frwl_svc.exe.
Как запретить программе выход в Интернет?
Чтобы запретить использование сети определенной программе, необходимо создать новое правило. Щелкните по значку Dr.Web на панели задач, выберите Центр безопасности → Файлы и сеть и нажмите на значок .
При появлении окна контроля учетных записей пользователей нажмите на кнопку Да и при необходимости введите пароль администратора.
Выберите ставший активным раздел Брандмауэр и нажмите Изменить в пункте Правила для приложений.
В открывшемся окне нажмите на значок , чтобы добавить новое правило.
В следующем окне укажите путь к исполняемому файлу приложения, в выпадающем списке Запуск сетевых приложений выберите Блокировать, а в списке Доступ к сетевым ресурсам — Блокировать все.
Нажмите ОК, чтобы изменения вступили в силу.
Разведка
Я не разбираюсь в продуктах Доктор Веб, поэтому взял первое попавшееся, что можно было скачать на сайте — это был Dr.Web Security Space 12 для Windows. При настройках по умолчанию данный продукт проводит проверку обновлений каждые полчаса. И в механизме обновления была обнаружена уязвимость.
Ниже я предлагаю видео эксплуатации с описанием того, что происходит на видео с привязкой ко времени. Там же будет описание, в чем же конкретно состояла уязвимость.
Неизвестное приложение постоянно пытается выйти в Интернет. Что это может быть и что делать в этом случае?
Возможно, что это какая-либо вредоносная программа. Рекомендуется провести полную проверку системы антивирусным сканером Dr.Web.
Как сбросить настройки брандмауэра?
Для сброса настроек щелкните во значку Dr.Web в трее, откройте в меню антивируса пункт Центр безопасности, нажмите на значок в левом нижнем углу окна, а затем — в правом верхнем. В открывшемся окне в разделе Управление настройками выберите Изменить → Восстановить настройки по умолчанию и нажмите ОК.
Внимание! При выполнении этого действия сбросятся пользовательские параметры всех компонентов Dr.Web, их потребуется настроить заново.
Видео эксплуатации
После подготовительных мероприятий, я, наконец, подошёл к эксплуатации. На этом видео представлена демонстрация возможности обхода брандмауэра (firewall) в продукте Dr.Web Security Space 12 версии. (Dr.Web, version.dll и test_application.exe находится на первой виртуальной машине, которая расположена с левой стороны видео. А netcat находится на второй виртуальной машине, которая расположена с правой стороны видео.)
Вот что происходит на видео:
На второй виртуальной машине запускаем netcat он же nc64.exe и прослушиваем порт 4444.
Затем на первой виртуальной машине в папке C:\Users\root\AppData\Local\Temp распакуем aplications.7z, там находятся version.dll и test_application.exe.
После этого, с помощью whoami показываем, что все действия от обычного пользователя.
Потом копируем C:\Program Files\DrWeb\frwl_svc.exe в папку C:\Users\root\AppData\Local\Temp\aplications.
Дальше демонстрируем, что брандмауэр (firewall) включён, исключения отсутствуют и время последнего обновления антивируса.
Следующим шагом запускаем тестовое приложение test_application.exe и проверяем работоспособность брандмауэр (firewall). Dr.Web заблокировал тестовое приложение, а значит можно сделать вывод, что брандмауэр (firewall) работает корректно.
Запускаем frwl_svc.exe и видим подключение в nc64.exe на второй машине.
Передаём команду на создание папки test на первой машине с помощью nc64.exe, который находится на второй машине.
Как создать правило для приложения (программы)?
Чтобы запретить использование сети определенной программе, необходимо создать новое правило. Щелкните по значку Dr.Web на панели задач, выберите Центр безопасности → Файлы и сеть и нажмите на значок .
При появлении окна контроля учетных записей пользователей нажмите на кнопку Да и при необходимости введите пароль администратора.
Выберите ставший активным раздел Брандмауэр и нажмите Изменить в пункте Правила для приложений.
В открывшемся окне нажмите на значок , чтобы добавить новое правило.
В следующем окне укажите путь к исполняемому файлу приложения, в выпадающем списке Запуск сетевых приложений выберите нужное действие:
- Разрешать — при попытке запуска сетевого приложения брандмауэр будет разрешать это действие.
- Блокировать — при попытке запуска сетевого приложения брандмауэр будет запрещать это действие.
- Не задано — при попытке запуска сетевого приложения брандмауэр будет выдавать запрос.
Затем выберите нужное действие в списке Доступ к сетевым ресурсам:
- Разрешать все — будет разрешена любая сетевая активность программы.
- Блокировать все — будет запрещена любая сетевая активность программы.
- Пользовательский — вы можете вручную настроить все параметры работы программы с сетью.
- Не задано — при каждой попытке программы выйти в сеть будет выдаваться запрос.
Нажмите ОК, чтобы изменения вступили в силу.
Если брандмауэр работает в интерактивном режиме, нет необходимости настраивать правила вручную — проще настраивать доступ для каждого приложения в момент его первой сетевой активности, прямо из окна оповещения брандмауэра.
Что такое пакетный фильтр?
Это элемент брандмауэра, позволяющий управлять прохождением трафика по указанным протоколам, разрешая или запрещая передачу пакетов, удовлетворяющих заданным условиям. Пакетный фильтр — базовое средство обеспечения безопасности компьютера, работающее независимо от приложений.
Загрузите этот скрипт, сохраните его на рабочем столе и запустите, щелкнув по файлу два раза левой клавишей мыши. На рабочем столе появится файл netfilter.log. Передайте этот файл в службу технической поддержки «Доктор Веб», приложив к соответствующему запросу.
Вывод
В результате проверки исправлений я обнаружил, что патч исправляет не саму проблему с доверенными приложениям, а только мой способ реализации данной уязвимости. Старая версия frwl_svc.exe отлично обходила ограничения. Все собранные сведения были переданы команде Dr Web. Вскоре была выпущена новая версия исправления, которая уже не обходилась моим методом.
Timeline
16.02.2021: Передача отчета в Dr.Web.
25.02.2021: Dr.Web сообщает, что данная возможность обхода firewall исправлена.
11.03.2021: Получение CVE 2021-28130.
14.03.2021: Проверка исправлений.
15.03.2021: Передача отчета в Dr.Web.
06.04.2021: Dr.Web сообщает, что данная возможность обхода firewall исправлена.
Подготовительные мероприятия
Начну проверку своей гипотезы с того, что настрою две виртуальные машины с windows 10 по аналогии с тем, как всё было в демонстрации.
На первую виртуальную машину с ip 192.168.9.2 я установлю Dr.Web последней версии. Процесс установки Dr.Web не отличатся от того, который был описан в предыдущем отчёте. А также в папку Temp я скопирую frwl_svc.exe версии 12.5.2.4160 и version.dll из предыдущего отчета.
На вторую виртуальную машину c ip 192.168.9.3 я установлю netcat.
Что такое родительский процесс?
Родительский процесс — это процесс или приложение, которое может запускать другие приложения. Настроить правила для родительских процессов можно в окне создания или редактирования правила для приложения с помощью выпадающего списка Запуск сетевых приложений.
Комментарии пользователей
Анатрев
10:53:20 2020-07-15Нужная для меня программа для работы в банке онлайн, вносит изменения в host, после чего Dr.Web эти изменения лечит. И так каждый день.
Может можно конкретную строку в файле host внести в исключения?stolik
18:13:45 2020-04-25Мыкола
01:21:32 2020-03-30Господа, не поленитесь, сделайте функционал, чтобы можно было содержимое файла hosts указывать в "белом списке" доктор-веба (можно построчно - это более красивое решение), чтобы на соответствующие строки антивирус не ругался. Ну или проще - целиком на весь текст файла.
У вас же сейчас, судя по статье, доступны два варианта:
- hosts не меняется, при попытке изменить возвращается к содержимому файла по умолчанию.
- отключаются все защиты, пользователь может файл изменить, но также может изменить и злоумышленник.И ЧТО ДЕЛАТЬ, ЕСЛИ ПОЛЬЗОВАТЕЛЮ НАДО ФАЙЛ ОТРЕДАКТИРОВАТЬ. ОТКЛЮЧАТЬ ЗАЩИТУ? ГЕНИАЛЬНО.
Сам работаю в it-компании, где наши программисты таким же образом решают проблемы пользователей.
БЕСИТ НЕИМОВЕРНО. 1111Саня
18:31:25 2019-09-16Petya
00:40:49 2019-09-12Защита - это хорошо, но неудобно ставить взломанные программы, они за лицензией обращаются на сервера, и как-то надо перенаправлять на локалхост
Не смогла у Вас "прорваться" задать вопрос в ПОДДЕРЖКЕ, задаю здесь и надеюсь на ВАШ ОТВЕТ:
Операционная система на компьютере Windows XP Professional версия 2002 SP 3 и браузер Yandex. Все в рабочем состоянии, провела проверку ОС перед установкой Вашей программы.18.02.2018 г я установила на свой ПК программу DR.Web SecuritySpace на 1 Пк на 1 год.. При установке : серийный номер я сообщила , ключ получила по почте; лицензию зарегистрировала за № 138595791. Получила ключевой файл :
; сохранила его копию на втором диске D. Кажется мне ( я не очень продвинутый пользователь), что все прошло в норме.
НО: пропало соединение с Интернет и не происходит ОБНОВЛЕНИЕ самой программы с 12 .20 часов дня, т.е с самого первого обновления..
Я провела полную проверку всего ПК сканером DR.Web – угроз не обнаружено. Не могу понять – почему пропал Интернет? Отчет я собрала, но отправляю все с другого ПК. Заранее благодарю Вас. С уважением,Людмила Александровна.
Сведения о системе:Имя ОС Microsoft Windows XP Professional
Версия 5.1.2600 Service Pack 3 Сборка 2600
Изготовитель ОС Microsoft Corporation
Имя системы USER-3BD6A40EFF
Изготовитель System manufacturer
Модель System Product Name
Тип Компьютер на базе X86
Процессор x86 Family 6 Model 15 Stepping 6 GenuineIntel ~1867 МГц
Версия BIOS American Megatrends Inc. 0402, 16.05.2011
Версия SMBIOS 2.5
Папка Windows C:\WINDOWS
Системная папка C:\WINDOWS\system32
Устройство загрузки \Device\HarddiskVolume1
Язык Россия
Аппаратно-зависимый уровень (HAL) Версия = "5.1.2600.5512 (xpsp.080413-2111)"
Имя пользователя USER-3BD6A40EFF\USER 5
Часовой пояс Московское время (зима)
Полный объем физической памяти 2 048,00 МБ
Доступно физической памяти 1,18 ГБ
Всего виртуальной памяти 2,00 ГБ
Доступно виртуальной памяти 1,91 ГБ
Файл подкачки 3,85 ГБ
Файл подкачки C:\pagefile.sysОтчет отправлю по Вашему запросу, т.к. не вижу как его приобщить.
Igor
01:26:43 2017-11-07Доброго времени. А если я внес изменения по выше описанному, то что мне самому нужно и то что я конкретно знаю что я вношу, НО если я после изменений уберу файл из "исключения" и верну "привентивную защиту в исходное значение - то Др Вэб опять вернет файл HOSTS в изначальное состояние для моей системы? я конечно не хочу что бы мой НOSTS был подвержен вирусами и не был в исключениях, но и что бы в нем сохранились те изменения которые я сам же и внес, как это сделать, как бы поменять изначальный файл?
давно об этом знал постоянно проверяю файл host в семерке полегче было его изменять в десятке потруднее но разобрался
Начиная с версии 6.0, в ОС Android появилась возможность разрешать или запрещать приложениям доступ к функциям устройства и личным данным.
После установки Dr.Web Light и принятия Лицензионного соглашения предоставьте приложению необходимые разрешения. Dr.Web Light запрашивает следующие обязательные разрешения:
• На устройствах с Android 10.0 или более ранними версиями: доступ к фото, мультимедиа и файлам.
• На устройствах с Android 11.0 или более поздними версиями: доступ к фото и мультимедиа.
Также на устройствах с Android 11.0 или более поздними версиями Dr.Web Light запрашивает разрешение на доступ ко всем файлам. Без предоставления разрешения Dr.Web Light не сможет проверять часть файлов и папок на устройстве и обнаруживать угрозы в недоступной для него части файловой системы. Запрос разрешения будет отображаться каждый раз при выборе любого типа проверки, пока вы не предоставите разрешение, следуя инструкциям, приведенным ниже или отображающимся на экране запроса.
Если вы отклоните запрос на предоставление обязательного разрешения, вам будет предложено перейти на экран настроек:
• На устройствах с Android 9.0 или более ранними версиями:
1. Нажмите Перейти в Настройки и выберите раздел Разрешения .
2. Выберите пункт Память или Хранилище и предоставьте разрешение, используя переключатель.
• На устройствах с Android 10.0:
1. Нажмите Перейти в Настройки и выберите раздел Разрешения .
2. Выберите пункт Память или Хранилище в категории Запрещено и выберите опцию Разрешить .
• На устройствах с Android 11.0 или более поздними версиями:
1. Нажмите Перейти в Настройки и выберите раздел Разрешения .
2. Выберите пункт Файлы и медиаконтент или Хранилище в категории Запрещено и выберите опцию Разрешить управление всеми файлами . С помощью этой опции вы предоставляете доступ к фото и мультимедиа, а также доступ ко всем файлам.
Чтобы открыть список всех разрешений для Dr.Web Light
1. Откройте настройки устройства .
2. Нажмите Приложения или Диспетчер приложений .
3. Найдите в списке установленных приложений Dr.Web Light и нажмите на него.
4. На экране О приложении выберите пункт Разрешения .
5. В меню, расположенном в верхнем правом углу, выберите Все разрешения .
Относительно недавно на хабре появилась статья «Стилер паролей в антивирусном ПО Avira Free Antivirus» от пользователя Veliant. Автор обнаружил, что в стандартной поставке упомянутого антивируса присутствует компонент, который позволяет простым образом извлечь пароли из хранилища браузера Chrome.
В комментариях произошла дискуссия, можно ли считать это уязвимостью. Но меня зацепил один комментарий автора:
нельзя ли это было реализовать например в виде DLL, которая при вызове её API проверяла бы цифровую подпись вызывающей программы?
Дело в том, что буквально перед этим я исследовал несколько программ, которые точно так же полагались на проверку цифровой подписи. И такую проверку было очень легко обойти.
Цифровая подпись файла соответствует только самому исполняемому файлу, но работающая программа это не только исполняемый файл. Существует несколько способов повлиять на работу программы, не меняя исполняемый файл: можно подменить библиотеки, которые загружаются или сделать инъекцию кода прямо в памяти.Я посмотрел на профиль автора: «Работает в: Доктор Веб». А что если посмотреть, не используется ли в продуктах этой компании проверка, о которой говорит автор? Я решил посмотреть и, спойлер, нашел уязвимость, которая позволяет повысить свои привилегии до системных пользователю Dr.Web Security Space для Windows.
Читайте также: