Перейти к содержанию

Рекомендуемые сообщения

  • Ответов 155
  • Создана
  • Последний ответ

Топ авторов темы

  • ossa

    67

  • Umnik

    36

  • regist

    13

  • Friend

    12

Опубликовано

Только что спустился на первый этаж и случайно встретил тестировщика HIPS. :) Задал ему все вопросы по этой теме и, наконец, разобрался в механизме работы.

 

В общем, дизайн продукта такой:

1. Продукт контролирует в данном случае саму секцию в реестре

2. Продукт видит, что меняется ссылка с библиотеки А, которая доверенная в KSN на библиотеку Б, которая тоже доверенная в KSN. А потом происходит обратная операция

3. Продукт разрешает такую замену ссылки

Если бы CLT добавлял стороннюю библиотеку или пытался заменить на библиотеку, которая не значится как супер-доверенная в KSN (почти всё из состава Windows является супер-доверенным), тогда бы он посмотрел, кто именно пытается сделать эту операцию.

 

Мне такой дизайн показался спорным. Но, по утверждению тестировщика, вредоносов, которые бы удовлетворяли условиям (имели бы свои доверенные библиотеки и меняли ссылки) не существует в природе.

 

Как провести этот тест самому? По идее можно написать скрипт или программу, которая бы проделывала такие же операции, но заменяла ссылки не на системные доверенные библитеки, а на какие-нибудь ваши тестовые. Сам я это проверить не могу, т.к. не имею Windows и не желаю его ставить :)

Опубликовано (изменено)

@Umnik,

конечно огромное спасибо Вам за помощь и попытки разобраться. всё становится ещё непонятнее. значит ограниченное приложение меняет в реестре ссылки на системные библиотеки. и именно из-за того, что эти библиотеки доверенные HIPS никак на это не реагирует. значит выходит, ограниченное приложение творит со списком в реестре что захочет.  при этом зловредов, осуществляющих такие операции не существует. значит в Comodo не понимают этого и создают такой дурацкий тест на изменение KnownDlls. как-то всё это не клеится со здравым смыслом, вам не кажется?

(задал тот же вопрос на оффоруме. Maratka отвечал мне что-то похожее. опять же про доверенные DLL-библиотеки и про то, что при тестировании CLT обращается к системной либе advapi32.dll. моя проверка показала, что это действительно так, именно эта либа участвует в тесте на инъекцию KnownDlls)


@Umnik

и как это вяжется с этим скриншотом??? по-моему отлично видно - в реестре всё под контролем!

post-50757-0-56901000-1540397876_thumb.png

Изменено пользователем ossa
Опубликовано

Тут механизм другой. Сначала проверяется, что и на что заменяется. Вот если замена будет на что-то, что не является доверенным, тогда проверится, КТО попытался это сделать. И к нему будут применены правила, заданные в таблице.

 

Я предполагаю, что это было сделано для инсталляторов. Не знаю как сейчас, а раньше доверенные инсталляторы создавали временные файлы, которые не были доверенными и которые были уникальны на каждом запуске инсталлятора. И тогда установка условного MS Office обламывалась бы, когда Офис попытался бы прописать свои библиотеки, ведь прописывать их будет временный файл, не проходящий как доверенный. Но вот текущая реализация позволяет Офису установиться спокойно, т.к. пропишет он библиотеки, которые стабильны и живут в Доверенных.

 

Это моё предположение. Может быть причины были в другом. Но не просто так поведение именно такое.

Опубликовано (изменено)

в общем результат примерно такой. вот как HIPS Comodo проходит этот тест (скриншоты). Вот какой алерт появляется - на попытку доступа к так называемому "защищённому COM-интерфейсу" advapi32.dll. Как раз advapi32.dll  предоставляет пользовательским приложениям специальные функции доступа к реестру.  Кликнешь "Разрешить" в алерте Comodo, и получим уязвимость.  Всё говорит о том, что в  "Контроле программ" KIS  доступ к COM-интерфейсам вообще не контролируется.

post-50757-0-63437900-1540462712_thumb.png

post-50757-0-18024700-1540462723_thumb.png

post-50757-0-00580300-1540462730_thumb.png

Изменено пользователем ossa
Опубликовано (изменено)

"Разрешить" в алерте Comodo, и получим уязвимость.

странно если было бы по другому на тесте который они специально заточили под свои наработки с целью рекламы своего продукта.

Изменено пользователем regist
Опубликовано

 

 


странно если было бы по другому на тесте который они специально заточили под свои наработки с целью рекламы своего продукта.

вы хотите сказать, что этот маленький этапчик теста на изменение KnownDlls заточили с целью рекламы своего продукта? остальные этапы теста несовершенный HIPS KIS проходит ведь абсолютно нормально! весьма странное решение) 

Опубликовано

@ossa, а как тогда Комодо в таком режиме реагирует на установку крупных популярных пакетов — Офиса, Фотошопа и подобных? Алертит или всё же позволяет заведомо чистому работать?

Опубликовано

 

 


вы хотите сказать, что этот маленький этапчик теста на изменение KnownDlls заточили с целью рекламы своего продукта?
я хочу сказать, что всю прогу заточили для рекламы своего продукта. Так что их прога проходит все этапа ихнего теста само собой разумеется. А другие продукты совсем не обязаны блокировать точно также как блокирует их комод.
Опубликовано

@regist

а других продуктов с классическим HIPS только два - Zone Alarm и Kaspersky. Так что от такой конкурентной рекламы сильно они не выиграют.

Опубликовано

@ossa, то есть нужно не библиотеки с доверенными подписями и доверием в KSN иметь, а достаточно в Inno Setup три строчки накидать?

Опубликовано

@Umnik

я не особо понял, о чём вы говорите? можно как-то поразборчивее изъясняться? что куда накидать? не понял

Опубликовано

@Umnik, так там доверенная и признак установщика. Если были бы или, то да :).

Опубликовано (изменено)

парни, здесь дело пока даже не в доверенности или недоверенности приложений. вы поймите, что подключившись к защищённому COM-интерфейсу программа получает повышение привилегий. 

расширенная библиотека API-сервисов advapi32.dll является важным системным процессом Windows, который предназначен для поддержки нескольких API, включая вызовы для параметров безопасности и реестра. 32-разрядная версия этого файла отвечает за перезапуск и завершение работы системы, реестр Windows, управление учетными записями пользователей и запуск, остановку и создание служб Windows.

это действие должно контролироваться HIPS как попытка подключения к защищённому программному интерфейсу системы, однозначно

Изменено пользователем ossa

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • wumbo12
      Автор wumbo12
      Тестирование Kaspersky Standard (19.09.2024):
      Это последняя версия Касперского Standard.
      Протестировано на 500 образцах вредоносного ПО из разных источников:
      Образцы не старше 30 и не новее 10 дней.
      Все образцы имеют не менее 15 обнаружений на VirusTotal по состоянию на 18 сентября 2024 г.
      Все примеры представлены в формате .exe, предназначенном для работы в 64-разрядной и 11-разрядной версиях Windows.
      Все настройки установлены по умолчанию, имитируя установку по принципу «установил и забыл».
      Статистика обнаружения:
      Обнаружение файлов при статическом сканировании: 360/500 (коэффициент обнаружения 72,0%)
      Обнаружено выполненных файлов: 438/500 (коэффициент обнаружения 87,6%)
      Сканеры второго мнения после очистки временных файлов:
      Sophos/HitmanPro — 17 обнаружений + 20 PUA
      Emsisoft — 13 обнаружений
      Norton PE — 35 обнаружений
      Полная проверка Касперского — 0 обнаружений после заражения
       
      Видео отчет :
       
      https://dosya.co/kux5af99wt76/Kaspersky_Test_Final_9-19-2024.mp4.html
       
    • dexter
      Автор dexter
      Доброго времени суток уважаемые волшебники и кудесники ЛК , ответственные за дизайн и интерфейс продуктовой линейки .
       
      При каждом обновлении происходит сверка файлов программы на предмет цифровой подписи и (или ) хеш-кода (поправьте если не так выразился). Это ясно. Но это касается непосредственно файлов программы.
       
      Вот после принятия  некоторого количества кофейку, назрел такой вопрос : а если изменять кое-какие файлы (кроме тех которые обще признаны к редактированию) , отвечающие за кое-какую информацию по расположению кое-каких элементов интерфейса при использовании альтернативной темы оформления - будут или не будут при очередном обновлении проверяться на предмет цифровой подписи и (или ) хеш-кода (или что-то там около этого) ?
       
       
    • Vseslavs
      Автор Vseslavs
      Здравствуйте!
      Я даже как-то пользовался платной версией. Сейчас тоже вновь готов заплатить, но 1 проблема. Время выходит, а ребёнок продолжает все равно играть. Интернет у него есть и игры запускаются. Хотя в разрешённых при блокированном телефоне у него только ватсап календарь, звонки по телефону. Почему, когда время выходит телефон, не блокируется, он все равно продолжает играть? Спасибо
    • igrok52
      Автор igrok52
      Подскажите пожалуйста. Антивирусом касперского пользуюсь много лет с 3.0 версии как все работает понимаю на пк. Подскажите пожалуйста кто знает по поводу Антивируса для Android устройств, не разу не ставил и вообще в экосистеме андроида не очень разбираюсь. Купил планшет дочке, загрузчик разблокирован, что там поставили понятия не имею, все работает но боюсь что есть какие то закладки от "китайцев" и пока не проверю не успокоюсь. Поможет антивирус касперского для андроида найти закладки или что то что может быть типа как в телефонах в китайских были закладки от китайцев которые смс отправляли на странные номера (лет 5 назад была эпидемия что и кнопочные и смартфоны дешевые слали смс по ночам в неизвестном направлении, оказалось что прошивка была с вирусами). Или для андроида версия может проверять только apk и не сможет увидеть что в системе есть вредоносы? Если что планшет из нашего ретейла, подумать не мог что у нас в солидных магазинах будут продавать планшеты с китайской прошивкой с разблокированным загрузчиком (Lenovo Xiaoxin Pad Pro 12.7).
    • AnnaB
      Автор AnnaB
      Здравствуйте!
      Извините, возник вопрос. Ситуация такая. Мама решила посмотреть фильм Оппенгеймер, нашла его на Ютубе, фильм оказался не полным (да там и не Оппенгеймер оказался вовсе), чтоб посмотреть полный фильм надо было перейти по ссылке в комментарии, которая редиректнула на ещё один сай.
      Для просмотра там требовалась регистрация, которая просто перенаправила на главную страницу Google, не фейковую, судя по всему, потому что там не требовалась входить в аккаунт, там было уже войдено.
      Всё происходило с телефона.
      Вопрос. В чём подвох и можно ли как-то просто переходя по таким ссылкам позволить украсть какие-то данные?
      Спасибо!

×
×
  • Создать...