Sigurnosni istraživači otkrili su da napadači mogu koristiti Microsoftov alat za provjeru aplikacija da bi preuzeli različite antivirusne proizvode. Izraelska zaštitarska tvrtka Cybellum tvrdi da nova metoda napada nazvana DoubleAgent koristi prednosti Windows alata stvorenih za sprečavanje virusnih napada - uključujući McAfee, Panda, Avast, AVG, Avira, F-Secure, Kaspersky, Malwarebytes, Bitdefender, Trend Micro, Comodo i ESET - i nude ih kao zlonamjerni softver.

Cybellum kaže da napad DoubleAgent može kompromitirati i druge antivirusne proizvode. Metoda funkcionira manipuliranjem Microsoftovim aplikacijskim verifikatorom, sustavom provjere runtime-a koji funkcionira na otkrivanju grešaka i povećanju sigurnosti Windows programa. Alat je uključen u Windows XP do Windows 10.

Kako funkcionira DoubleAgent

Cybellum je objasnio način na koji DoubleAgent djeluje:

Naši istraživači otkrili su nedokumentiranu sposobnost Application Verifier-a koji omogućava napadaču da zamijeni standardni verifikator sa vlastitim prilagođenim verifikatorom. Napadač može upotrijebiti tu sposobnost da bi ubrizgao prilagođeni provjernik u bilo koju aplikaciju. Nakon što je prilagođena verifikator ubrizgana, napadač sada ima potpunu kontrolu nad aplikacijom. Aplikacija Verifier stvorena je kako bi se ojačala sigurnost aplikacija otkrivanjem i ispravljanjem grešaka, a ironično DoubleAgent koristi ovu značajku u svrhu izvođenja zlonamjernih operacija.

Problem nije u Windows-u, već u dobavljačima sigurnosti koji nude antivirusne proizvode. Cybellum tvrdi da se DoubleAgent može koristiti za napad na organizacije koje koriste osjetljive antivirusne programe. Malwarebytes, AVG i Trend Micro neki su od dobavljača koji su riješili problem za njihove proizvode. Čini se da je Windows Defender jedini antivirusni proizvod koji je imun na DoubleAgent zbog svoje upotrebe Windows mehanizma koji se naziva Protected Process. Mehanizam osigurava usluge protiv zlonamjernog softvera koje se izvode u korisničkom načinu.

Smanjenje

Microsoft nudi zaštićenim procesima način da se omogući pouzdano učitavanje potpisanog koda. Dakle, napadači ne mogu koristiti DoubleAgent protiv antivirusa čak i ako napadač pronađe novu tehniku ​​bez nule kao svoj kod. Probni kod napada-koncepta sada je dostupan na GitHub-u, ljubaznošću Cybelluma.