La falla in Windows Defender che a Microsoft non interessa

Il gigante di Redmond non la considera un problema di sicurezza.



[ZEUS News - www.zeusnews.it - 04-10-2017]

windows defender illusion gap

Gli hacker hanno a disposizione una nuova tecnica per aggirare le protezioni di Windows Defender, l'antimalware di Microsoft incluso in Windows.

Tale tecnica si chiama Illuysion Gap e sfrutta un particolare comportamento di Windows Defender, facendo in modo che il software consideri sicuri anche file che in realtà contengono del pericoloso malware.

Il sistema è stato scoperto da CyberArk, azienda che si occupa di sicurezza, e si basa sull'utilizzo di un server SMB.

Quando deve analizzare un file eseguibile posto in una condivisione SMB, Windows Defender richiede due copie del file in questione: una viene usata da Windows PE Loader per lanciare il programma e crearne un processo; l'altra viene analizzata da Windows Defender stesso alla ricerca di pericoli.

Il problema sta nel fatto che i server SMB sono in grado di distinguere le due richieste, e pertanto è possibile inviare un file diverso a ogni richiesta: per esempio, si può inviare a Windows PE Loader il file con il malware, mentre a Windows Defender viene consegnato un file innocuo.

In questo modo si può a tutti gli effetti ingannare l'antimalware di Microsoft facendogli credere che un software dannoso sia privo di rischi.

A peggiorare la situazione c'è il fatto che Microsoft, informata del problema, ha risposto che dal suo punto di vista non si tratta di un problema di sicurezza.

Sondaggio
Hai mai acceduto a una rete Wi-Fi di qualcuno senza il suo permesso?
No, mai.
No, ma lo farei se ne avessi la possibilità.
Sì, ma era una rete Wi-Fi pubblica approntata appositamente.
Sì, ma era una rete Wi-Fi lasciata aperta e quindi ci potevo entrare anche senza le credenziali necessarie.
Sì, una rete Wi-Fi privata di cui ho hackerato la password (o di cui ho conosciuto la password).

Mostra i risultati (1056 voti)
Leggi i commenti (3)

«Grazie per la vostra email» ha scritto lo staff di Microsoft a CyberArk. «In base al vostro rapporto, un attacco per avere successo richiede che l'utente avvii o si fidi del contenuto presente su una condivisione SMB non fidata e supportata da un server personalizzato che possa cambiare il proprio comportamento in base al modo in cui vi si accede. A noi non sembra un problema di sicurezza ma piuttosto una richiesta di aggiunta di funzionalità ("feature request" nell'originale, NdR), che abbiamo girato al gruppo di sviluppo».

Ciò in sostanza significa che, qualora il problema insito nel comportamento di Windows Defender venga preso in considerazione pe runa modifica, ciò avverrà senza l'urgenza che caratterizza gli interventi legati alla sicurezza.

Nel frattempo, la tecnica Illusion Gap potrà essere usata e, anche se la sua particolare modalità di esecuzione probabilmente non la rende una minaccia su larga scala, resta comunque un ulteriore, possibile pericolo da cui gli utenti si dovranno guardare.

CyberArk esprime il proprio punto di vista in maniera più sintetica: «Il compito di Windows Defender è cercare e individuare i file pericolosi. Questa vulnerabilità consente a dei file pericolosi di aggirarlo, per cui Windows Defender non è in grado di eseguire il proprio compito».

Il consiglio dello staff di CyberArk è di affiancare a Windows Defender un ulteriore software antimalware, facendo attenzione a un dettaglio: non è detto che lo stesso comportamento non sia adottato anche da per lo meno alcune delle soluzioni antivirus concorrenti, situazione che l'azienda ancora non ha vagliato ma ritiene possibile.

Qui sotto, due video realizzati da CyberArk per illustrare il funzionamento di Illusion Gap.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) sotto o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Ransomware, Windows 10 ora mette i dati sotto chiave
Microsoft: ''Sì, disabilitiamo gli antivirus. Per il bene degli utenti''
Antivirus Microsoft era sfruttabile per installare virus

Commenti all'articolo (3)

Sicuramente si tratta di una debolezza di Defender però le probabilità che un attacco del genere possa avvenire sono sufficientemente basse da non giustificare una patch di emergenza (IMHO).
7-10-2017 18:30

{Alf}
Simile ai problemi di sicurezza del firmware dei Mac... una vulnerabilità vera con un campo di applicazione trascurabile. Almeno, a me non viene in mente nessun server SMB da cui scarico file se escludiamo il mio NAS :-)
5-10-2017 18:51

Sì e no. E' vero che con questa tecnica può essere aggirato Windows Defender e possono penetrare file pericolosi, ma questo non dipende dallo specifico file, bensì dallo specifico server SMB a cui ci si sta collegando. Quindi concordo con Microsoft che l'allarmismo debba essere contenuto, sebbene sia necessario correggere questo errore... Leggi tutto
4-10-2017 18:48

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News (P.Iva 06584100967). Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Come passi maggiormente il tuo tempo online?
Sui social network
Leggendo e scrivendo email
Guardando filmati
Cercando e leggendo informazioni
Giocando online
Leggendo i blog
Sui forum
Ascoltando musica e radio online
Leggendo quotidiani e riviste
Altro (specificare nei commenti)

Mostra i risultati (1444 voti)
Ottobre 2017
Ceo di GitHub: i programmatori sono condannati all'estinzione
Il ransomware per Android che blocca lo smartphone due volte
Il falso Adblock che ha ingannato decine di migliaia di utenti
Windows Media Player sparisce da Windows 10
Disqus violato, rubati i dati di 17,5 milioni di utenti
Il caso dell'iPhone 8 che si gonfia mentre è in carica
Gli auricolari di Google che traducono le conversazioni in tempo reale
La falla in Windows Defender che a Microsoft non interessa
Con un salto quantico, Firefox diventa più veloce di Chrome
Settembre 2017
Internet Explorer spiffera quel che digitiamo nella barra
Windows, gli ultimi aggiornamenti bloccano gli account utente
Violazione di CCleaner, guai più gravi del previsto
Il primo smartphone con Linux davvero libero
Falla nel Bluetooth, vulnerabili 5 miliardi di dispositivi
Se il robot sessuale diventa un terminator
Tutti gli Arretrati


web metrics