Авторы шифровальщиков могут использовать родную функцию Windows

Технологию шифрования, используемую Microsoft для защиты файловой системы Windows, могут задействовать авторы программ-вымогателей в ходе своих атак. Такой способ эксплуатации легитимной функции продемонстрировали специалисты компании Safebreach Labs.

Речь идёт о «родной» системе шифрования данных — Windows Encrypting File System (EFS). Microsoft использует её для защиты системные файлов.

Согласно отчёту экспертов, авторы шифровальщиков могут не только вклиниться в работу EFS, но и попутно избежать детектирования антивирусными средствами.

Команда Safebreach Labs разработала специальный PoC-код, способный заставить систему зашифровать данные с ключом злоумышленника. В процессе подобной атаки главным компонентом выступает EFS.

Затем ключ удаляется из памяти ОС, чтобы у жертвы не было возможности расшифровать файлы самостоятельно. По словам специалистов, такие атаки не только очень сложно выявить и заблокировать — их ещё и проще автоматизировать.

«В ходе тестирования этой формы шифрования мы взяли антивирусные решения трёх популярных производителей: ESET, Kaspersky, Microsoft. В результате все три программы, заточенные под детектирование и удаление шифровальщиков, не смогли выявить угрозу», — говорится в отчёте экспертов.

Update: Производители антивирусных программ обновили свои решения: теперь Avast, Avira, Check Point, ESET, Kaspersky успешно детектируют этот способ шифрования.

че так прям и сразу нашли решение? не успели изобрести а заглушка уже есть? они наверное в соавтарстве вируса

onacura писал(а):

че так прям и сразу нашли решение? не успели изобрести а заглушка уже есть? они наверное в соавтарстве вируса

учитывая, что вирусы используют EFS, то и решение сделать не сложно, тут скорее вопрос почему этим занимаются антивирусные компании, если по хорошему Microsoft должна выкатить обнову?

mr_intract писал(а):

onacura писал(а): че так прям и сразу нашли решение? не успели изобрести а заглушка уже есть? они наверное в соавтарстве вируса учитывая, что вирусы используют EFS, то и решение сделать не сложно, тут скорее вопрос почему этим занимаются антивирусные компании, если по хорошему Microsoft должна выкатить обнову?

Какую обнову должна выкатить Microsoft? Запретить тупому юзеру запускать рандомные экзэшники из интернета с админскими правами? Дык это уже дело юзера. Он сам принес гранату в дом и сам выдернул чеку.

oldmanura40k писал(а):

Запретить тупому юзеру запускать рандомные экзэшники из интернета с админскими правами?

Для этих целей как раз таки есть smartscreen + windows defender и windows update - которые благополучно выпиливаются из системы в первые 5 минут после установки Windows.

Вообще не понимаю смысла в отсылке денег. Да снёс ось и установил по новой. Делов максимум на час. Или что народ так отупел, что винду установить не может?

Тоже мне новость!
Шифровальщики используют ресурсы и возможности операционной системы.
А что же им ещё использовать!

batut1n писал(а):

Вообще не понимаю смысла в отсылке денег. Да снёс ось и установил по новой. Делов максимум на час. Или что народ так отупел, что винду установить не может?

Ну как бы о винде в последнюю очередь думают, как мне кажется. Шифруются же не системные файлы а контент пользователя... от памятных фото до важных документов.

А деньги, действительно, отсылать не стоит.

batut1n писал(а):

Вообще не понимаю смысла в отсылке денег. Да снёс ось и установил по новой. Делов максимум на час. Или что народ так отупел, что винду установить не может?

Это вы видать конторские компы не видели, где на рабочем столе 100500 документов в единственном экземпляре и 1С-бухгалтерия за 10+ лет с базой в единственном экземпляре на этом же компе...

batut1n писал(а):

Вообще не понимаю смысла в отсылке денег. Да снёс ось и установил по новой. Делов максимум на час. Или что народ так отупел, что винду установить не может?

Народ так отупел, что не понимает, что компьютер можно использовать не только для просмотра порнушки!
И на нем может хранится информация, которая стоит денег!

alex_sazan писал(а):

И на нем может хранится информация, которая стоит денег!

Ну по-хорошему вся такая инфа должна дублироваться и не раз. Просто пока жареный петух не клюнет, никто об этом не задумывается...

sir.Adler писал(а):

alex_sazan писал(а): И на нем может хранится информация, которая стоит денег! Ну по-хорошему вся такая инфа должна дублироваться и не раз. Просто пока жареный петух не клюнет, никто об этом не задумывается...

Конечно же да. А вот почему не было бекапов в той или иной ситуации - это отдельный вопрос

Интересно, отключение службы как-нибудь влияет

Magnit Rus писал(а):

Интересно, отключение службы как-нибудь влияет

Если эта заразная хрень сама не умеет её включать, то вероятно влияет.
Без прав администратора службами упрявлять вроде нельзя, но учитывая, что у большинства админские учетки и выключен UAC, то программно включить службу будет не проблема.

alex_sazan писал(а):

информация, которая стоит денег!

Ну с таким же успехом можно и без дверей жить. Инфа что стоит денег не должна!!! храниться на компьютере.