这个名为“双面间谍”的攻击手法 竟然可把杀软变成恶意软件

被称为“双面间谍”的零日攻击可接管Windows主机上的杀毒软件，并将之转变为能够加密文件索要赎金、渗漏数据或格式化硬盘的恶意软件。

从2001年推出的XP到2015年推出的 Windows 10，有一个功能始终延续。正是在此功能基础上，该攻击得以对安全厂商Cybellum测试的所有14家厂商杀软产品都有效，而且对机器上运行的其他进程也有效。

“双面间谍”目前仅被Cybellum发现，尚无野生漏洞利用出现。

“已向所有主要厂商报告了该攻击，厂商认可了漏洞的存在，目前正在寻找解决方案，准备发布补丁。”

遵守负责任漏洞披露标准，早在90天前，通告就已发向厂商，给厂商留了修复时间。

被通知的14家杀软厂商中，有2家已经采取措施处理该问题了——AVG和Malwarebytes。其他12家被通知的厂商是：Avast、小红伞、Bitdefender、趋势科技、Comodo、ESET、F-Secure、卡巴斯基、迈克菲、熊猫、Quick Heal和诺顿。

Cybellum表示，杀软平台没有明显缺陷；DLL可以被插入任意进程。选择它们做测试攻击，仅仅因为这些杀软进程被计算机上其他应用(包括其他安全软件)所信任，是很有效的攻击界面。

杀软是我们可以做的最重要攻击。如果你攻击某家公司，不仅仅是消费者，整家公司都可以被完全接管。没有其他安全防护会去检查杀软。这一整堆安全产品都可以一次性绕过。

AVG和Malwarebytes采用的权变措施涉及修复杀软，让杀软检查试图写入杀软注册表的任意进程并封锁之。

“杀软存在内核，有驱动可以查看几乎所有东西。”

同时，公司企业可以尝试加强对下载的关注，防止“双面间谍”进入主机。

Cybellum称，3年前，微软提出了“受保护进程”的新设计理念供杀软厂商使用，就是专门用来保护杀毒软件的。厂商可以编写自己的平台，以便可被认为是仅允许可信签名代码加载的受保护进程。这样便可防住代码注入攻击了，包括“双面间谍”。

“双面间谍”利用了微软应用程序验证工具的一个怪癖。该工具检测并修复原生应用程序中的漏洞，方法是通过在运行时加载到应用程序中的“验证器提供者DLL”。

微软应用程序验证工具允许创建新的验证器DLL，还可以用一组键值在注册表中进行注册。

一旦DLL被注册成某进程的验证器提供者DLL，该DLL就会在进程每次启动时，被Windows加载器注射到该进程中，即便系统重启/更新/重装/打补丁之后都如此。

换句话说，该DLL成功驻留了。

该漏洞实际上就是微软应用程序验证工具的未公开功能，也是Windows内核的一部分。所以，短期内是不太可能移除的。

该攻击甚至脚本小子级别的初级黑客都能执行。攻击代码可直接从恶意网站下载，或者通过打开恶意附件加载。

生成海报

免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。