विंडोज 10 डेवलपर्स ने रैंसमवेयर वायरस से सुरक्षा को लागू किया है। इसे DLL इंजेक्शन के साथ दरकिनार किया जा सकता है

विंडोज 10 ने रैंसमवेयर प्रोटेक्शन मैकेनिज्म पेश किया, जिसे कंट्रोल्ड फोल्डर एक्सेस कहा जाता है। यह अज्ञात कार्यक्रमों को निर्दिष्ट संरक्षित फ़ोल्डरों में फाइलों को संशोधित करने से रोकता है। Fujitsu सिस्टम इंटीग्रेशन लेबोरेटरीज लिमिटेड में सूचना सुरक्षा शोधकर्ता DLL इंजेक्शन के साथ इस सुरक्षा के चारों ओर एक रास्ता खोजा ।

क्या समस्या है

सोया Aoyama एक दुर्भावनापूर्ण DLL को Windows Explorer में इंजेक्ट करने में कामयाब रहा - और explorer.exe नियंत्रित फ़ोल्डर पहुंच कार्यक्रमों की विश्वसनीय सूची में है। अपनी योजना को अंजाम देने के लिए, शोधकर्ता ने इस तथ्य का उपयोग किया कि जब आप explorer.exe शुरू करते हैं, तो रजिस्ट्री कुंजी HKEY_CLASSES_ROOT \ * \ shellex \ ContextMenuHandlers में पाई गई DLL को लोड करता है:



HKEY_CLASSES_ROOT पेड़ HKEY_LOCAL_MACHINE और HKEY_CURRENT_USER में पाई गई रजिस्टर जानकारी का "मर्ज" है। इस तरह के "मर्ज" को लागू करते समय, विंडोज एचकेसीयू प्राथमिकता से जानकारी प्रदान करता है। इसका मतलब यह है कि यदि कोई कुंजी HKCU में मौजूद है, तो यह HKLM में एक ही कुंजी पर वरीयता लेगी, और इस डेटा को HKEY_CLASSES_ROOT ट्री में डाला जाएगा।

जब आप explorer.exe शुरू करते हैं, Shell32.dll प्रमुख HKEY_LOCAL_MACHINE \ SOFTWARE \ Classes \ CLAAID \ {90AA3A4E-1CBA-4233-BBBB-535773D48449} \ InProcServer32 में स्थित डिफ़ॉल्ट रूप से लोड किया जाता है। एक्सप्लोरर में एक दुर्भावनापूर्ण DLL को लोड करने के लिए, Aoyama ने बस प्रमुख HKCU \ Software \ Classes \ CLSID \ {90AA3A4E-1CBA-4233-B8BB-535773D48444} \ InProcServer32 बनाया और लाइब्रेरी को उसका मान निर्धारित किया, जिसकी उसे आवश्यकता थी।

उसके बाद, Shell32.dll के बजाय explorer.exe प्रक्रिया को पूरा करने और पुनः आरंभ करने के बाद, प्रोग्राम ने हैकर द्वारा बनाए गए DLL को लॉन्च किया।

आओयामा ने डर्बीकॉन सम्मेलन में अध्ययन के परिणामों को साझा किया:

खुद की सुरक्षा कैसे करें

शोधकर्ता ने यह भी पाया कि विंडोज डिफेंडर, अवास्ट, ईएसईटी, मालवेयरबाइट्स प्रीमियम और मैक्एफी सहित कई एंटीवायरस ने अपने द्वारा पाए गए हमले के पैटर्न को नहीं पहचाना।

वहीं, आओयामा के अनुसार, माइक्रोसॉफ्ट के प्रतिनिधि यह नहीं मानते कि उन्होंने भेद्यता की खोज की थी। शोधकर्ता ने अपने निष्कर्षों के बारे में कंपनी को जानकारी भेजी, लेकिन वहां उन्हें बताया गया कि वह पुरस्कार के हकदार नहीं हैं, और वे एक पैच जारी नहीं करेंगे, क्योंकि एक हमलावर को पीड़ित के कंप्यूटर तक पहुंच की आवश्यकता होती है और जब इसे किया जाता है, तो एक्सेस अधिकार को पार नहीं किया गया था।

हालांकि, अन्य कमजोरियों के संयोजन में, आओयामा द्वारा खोजे गए हमले वेक्टर हमलावरों के लिए दिलचस्प हो सकते हैं। मूल रूप से, बड़ी कंपनियों का बुनियादी ढांचा विंडोज पर बनाया गया है। यह जानते हुए, हमलावर इस ऑपरेटिंग सिस्टम के तहत हमलों के लिए विशेष उपकरण विकसित करते हैं।

कल, 18 अक्टूबर को 14:00 बजे , पीटी एक्सपर्ट सिक्योरिटी सेंटर के विशेषज्ञ तीन हैकिंग टूल का विश्लेषण करेंगे, जो आपको विंडोज इंफ्रास्ट्रक्चर में एक हमले को विकसित करने की अनुमति देते हैं: इम्पेकेट, क्रैकपाउज़ेसिक और कोएडिक। छात्र सीखेंगे कि वे कैसे काम करते हैं, नेटवर्क ट्रैफ़िक में वे क्या गतिविधि बनाते हैं, और सबसे महत्वपूर्ण बात यह है कि समय में उनके आवेदन का पता कैसे लगाया जाए। वेबिनार एसओसी, नीली टीमों और आईटी विभागों के कर्मचारियों के लिए दिलचस्प होगा।

भाग लेने के लिए, आपको पंजीकरण करना होगा।