Pierwszy miesiąc roku zakończył się ostrą krytyką antywirusów ze strony byłego inżyniera Mozilli, a niedługo potem dołączył do niej inżynier Chrome, przyjmując identyczne stanowisko. A teraz mamy do czynienia z czymś gorszym: możliwością zamiany antywirusów w złośliwe oprogramowanie. To właśnie zrobił zespół Cybellum z DoubleAgent, nowym atakiem, który opiera się na oficjalnym narzędziu Microsoftu i jest dostępny w każdej wersji systemu Windows od czasu premiery XP.
Głównym celem antywirusów pozostaje ochrona użytkownika i jego komputera. Jednak zagrożenia się mnożą, a próbując objąć wszystkie kąty, ich twórcy wdrożyli pewne techniki, które wielu programistów krytykuje od początku do końca. Nawet opinie użytkowników są podzielone. Debata nie dotyczy już tego, jaki antywirus zainstalować, ale kwestionuje się ich przydatność. Antywirusy są uważane za „elementy zaufania” w systemie operacyjnym, a gdyby ktoś naruszył ich integralność byłaby to katastrofa. Nieraz widzieliśmy bazy danych z błędami, które uznawały pliki systemowe za zagrożenia, pozostawiając komputery wyłączone z gry na całym świecie. Co dalej? Przejęcie pełnej kontroli nad antywirusem i wykorzystanie go do złośliwych działań.
Czym jest DoubleAgent?
Zróbmy miejsce dla DoubleAgent, ataku opublikowanego przez ludzi z Cybellum, który może zostać użyty na dowolnej wersji systemu Windows od XP na znaczną liczbę antywirusów. Historia zaczyna się od oficjalnego narzędzia o nazwie Microsoft Application Verifier. Jego zadaniem jest wzmacnianie bezpieczeństwa i sprawdzanie integralności aplikacji innych producentów, ale jest pewien szczegół: Application Verifier daje pewien zakres personalizacji w swoich weryfikatorach. DoubleAgent wykorzystuje tę personalizację do przeprowadzenia wstrzyknięcia kodu bez wykrycia lub zablokowania przez antywirus, a co więcej, technika ta jest trwała – jej efekty pozostają nawet po ponownym uruchomieniu komputera.
Ochrona i zagrożenie
W Cybellum potwierdzają, że DoubleAgent wymaga podniesionych uprawnień do uruchomienia, ale złośliwy agent z wystarczającymi zasobami może „łączyć błędy” aby je uzyskać. Oba filmy pokazują DoubleAgent zamieniający Norton i Avirę w ransomware. Na szczęście programiści nie siedzą z założonymi rękami i przygotowują nowe poprawki. Jednocześnie Windows Defender posiada technikę łagodzenia o nazwie „Procesy chronione” która czyni go odpornym na DoubleAgent, chociaż nie jest to rozwiązanie wyłączne (ESET stosuje je w swoich krytycznych procesach).
