La falla in Windows Defender che a Microsoft non interessa

Il gigante di Redmond non la considera un problema di sicurezza.



[ZEUS News - www.zeusnews.it - 04-10-2017]

windows defender illusion gap

Gli hacker hanno a disposizione una nuova tecnica per aggirare le protezioni di Windows Defender, l'antimalware di Microsoft incluso in Windows.

Tale tecnica si chiama Illuysion Gap e sfrutta un particolare comportamento di Windows Defender, facendo in modo che il software consideri sicuri anche file che in realtà contengono del pericoloso malware.

Il sistema è stato scoperto da CyberArk, azienda che si occupa di sicurezza, e si basa sull'utilizzo di un server SMB.

Quando deve analizzare un file eseguibile posto in una condivisione SMB, Windows Defender richiede due copie del file in questione: una viene usata da Windows PE Loader per lanciare il programma e crearne un processo; l'altra viene analizzata da Windows Defender stesso alla ricerca di pericoli.

Il problema sta nel fatto che i server SMB sono in grado di distinguere le due richieste, e pertanto è possibile inviare un file diverso a ogni richiesta: per esempio, si può inviare a Windows PE Loader il file con il malware, mentre a Windows Defender viene consegnato un file innocuo.

In questo modo si può a tutti gli effetti ingannare l'antimalware di Microsoft facendogli credere che un software dannoso sia privo di rischi.

A peggiorare la situazione c'è il fatto che Microsoft, informata del problema, ha risposto che dal suo punto di vista non si tratta di un problema di sicurezza.

Sondaggio
Hai mai acceduto a una rete Wi-Fi di qualcuno senza il suo permesso?
No, mai.
No, ma lo farei se ne avessi la possibilità.
Sì, ma era una rete Wi-Fi pubblica approntata appositamente.
Sì, ma era una rete Wi-Fi lasciata aperta e quindi ci potevo entrare anche senza le credenziali necessarie.
Sì, una rete Wi-Fi privata di cui ho hackerato la password (o di cui ho conosciuto la password).

Mostra i risultati (1406 voti)
Leggi i commenti (3)

«Grazie per la vostra email» ha scritto lo staff di Microsoft a CyberArk. «In base al vostro rapporto, un attacco per avere successo richiede che l'utente avvii o si fidi del contenuto presente su una condivisione SMB non fidata e supportata da un server personalizzato che possa cambiare il proprio comportamento in base al modo in cui vi si accede. A noi non sembra un problema di sicurezza ma piuttosto una richiesta di aggiunta di funzionalità ("feature request" nell'originale, NdR), che abbiamo girato al gruppo di sviluppo».

Ciò in sostanza significa che, qualora il problema insito nel comportamento di Windows Defender venga preso in considerazione pe runa modifica, ciò avverrà senza l'urgenza che caratterizza gli interventi legati alla sicurezza.

Nel frattempo, la tecnica Illusion Gap potrà essere usata e, anche se la sua particolare modalità di esecuzione probabilmente non la rende una minaccia su larga scala, resta comunque un ulteriore, possibile pericolo da cui gli utenti si dovranno guardare.

CyberArk esprime il proprio punto di vista in maniera più sintetica: «Il compito di Windows Defender è cercare e individuare i file pericolosi. Questa vulnerabilità consente a dei file pericolosi di aggirarlo, per cui Windows Defender non è in grado di eseguire il proprio compito».

Il consiglio dello staff di CyberArk è di affiancare a Windows Defender un ulteriore software antimalware, facendo attenzione a un dettaglio: non è detto che lo stesso comportamento non sia adottato anche da per lo meno alcune delle soluzioni antivirus concorrenti, situazione che l'azienda ancora non ha vagliato ma ritiene possibile.

Qui sotto, due video realizzati da CyberArk per illustrare il funzionamento di Illusion Gap.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Windows Defender fa piazza pulita della concorrenza
Falla critica in Windows, Microsoft rilascia una patch di emergenza
Ransomware, Windows 10 ora mette i dati sotto chiave
Microsoft: ''Sì, disabilitiamo gli antivirus. Per il bene degli utenti''
Antivirus Microsoft era sfruttabile per installare virus

Commenti all'articolo (3)

Sicuramente si tratta di una debolezza di Defender però le probabilità che un attacco del genere possa avvenire sono sufficientemente basse da non giustificare una patch di emergenza (IMHO).
7-10-2017 18:30

{Alf}
Simile ai problemi di sicurezza del firmware dei Mac... una vulnerabilità vera con un campo di applicazione trascurabile. Almeno, a me non viene in mente nessun server SMB da cui scarico file se escludiamo il mio NAS :-)
5-10-2017 18:51

Sì e no. E' vero che con questa tecnica può essere aggirato Windows Defender e possono penetrare file pericolosi, ma questo non dipende dallo specifico file, bensì dallo specifico server SMB a cui ci si sta collegando. Quindi concordo con Microsoft che l'allarmismo debba essere contenuto, sebbene sia necessario correggere questo errore... Leggi tutto
4-10-2017 18:48

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Il fondatore di Microsoft ha chiesto all'UE di rendere più difficili gli ingressi in Europa ai migranti africani che cercano di raggiungere il continente attraverso le attuali rotte di passaggio. Sei d'accordo?
Sì.
No.

Mostra i risultati (1162 voti)
Luglio 2018
Google accusa la UE: Android rischia di non essere più libero
L'attacco che inganna il GPS con mappe false e manda fuori strada
Adesso che si fa? Strategie mitiganti
Bollette di 30 giorni, ma a vincere sono sempre i gestori telefonici
L'industria petrolifera semina disinformazione sulle auto elettriche
The Firefox Monitor ti svela se i tuoi dati sono stati hackerati
Giugno 2018
Facebook, un brevetto per attivare i microfoni degli smartphone a tradimento
Usare la batteria dello smartphone per rubare i dati
Bug in Windows 7, Microsoft si arrende e toglie il supporto alle vecchie CPU
PeerTube: come YouTube, ma senza censura e basato su BitTorrent
Come si fa a leggere i messaggi cifrati di WhatsApp e Telegram? Non è difficile
Come sarebbe Windows 7 se fosse nato nel 2018?
Il malware che infetta Windows 10 e scatta foto del desktop
Come si riconosce un video Deepfake? A occhio
Lucchetto ''smart'' annuncia a tutti la propria password
Tutti gli Arretrati


web metrics