Microsoft добавила в Sysmon детектирование внедрения в процессы Windows

Екатерина Быстрова 12 Января 2021 - 13:27

Домашние пользователи

Корпорации

Windows

Microsoft

Защита персональных компьютеров

...

Microsoft добавила в Sysmon детектирование внедрения в процессы Windows

Microsoft выпустила версию утилиты Sysmon под номером 13, которая отметилась интересной функцией для борьбы с действиями вредоносных программ. Теперь инструмент может выявлять несанкционированное внедрение в процессы операционной системы Windows.

Киберпреступники часто прибегают к инъекции вредоносного кода в легитимные процессы, что помогает им избежать детектирования антивирусными средствами. То есть по факту вредоносная программа выполняется, а в Диспетчере задач Windows мы видим стандартный процесс ОС.

Например, злоумышленники используют технику «process hollowing» («выдалбливание процесса»), подразумевающую, что вредонос запускает легитимный процесс, а затем подменяет безобидный код злонамеренным. Таким образом, код зловреда выполняется с полными правами процесса-родителя.

«Process herpaderping» — более сложный метод, с помощью которого вредоносная программа модифицирует свой образ на диске, маскирую его под легитимный софт. В этом случае антивирусные средства, сканируя диск, увидят лишь безопасный файл, хотя в память будет загружен вредоносный код.

Многие известные зловреды успешно используют технику внедрения в легитимные процессы. Среди них можно отметить программу-вымогатель Mailto/defray777, а также бэкдоры TrickBot и BazarBackdoor.

Для борьбы с этими методами Microsoft выпустила новую версию утилиты Sysmon, входящей в набор Sysinternals. Инструмент можно скачать со страницы Sysinternal или по прямой ссылке.

Чтобы активировать детектирование внедрения в процессы, администраторам нужно добавить опцию «ProcessTampering» в файл конфигурации:

<Sysmon schemaversion="4.50">
  <EventFiltering>
    <RuleGroup name="" groupRelation="or">
      <ProcessTampering onmatch="exclude">
      </ProcessTampering>
    </RuleGroup>
  </EventFiltering>
</Sysmon>

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Татьяна Никитина 03 Апреля 2025 - 17:36

Домашние пользователи Менеджеры паролей Парольная защита (пароли) Google

Для Google Password Manager готовят поддержку импорта-экспорта passkey

В Google проводят работы по реализации импорта-экспорта ключей доступа passkey. Разбор кода новейшей версии Google Play Services (25.13.31 бета) показал, что такая возможность вскоре появится в менеджере паролей для Android.

Поддержка экспорта паролей в Google Password Manager уже есть, теперь ее, видимо расширят, охватив также passkey.

Эта технология беспарольной защиты имеет серьезное ограничение: ключи привязаны к определенному устройству, и при замене девайса пользователям приходится вручную отвязывать их от каждого сервиса, а затем заново регистрировать.

Участники альянса FIDO озаботились решением проблемы и в прошлом году опубликовали рабочую версию стандарта безопасной передачи passkey при смене платформы или сервиса.

Эти спецификации, по всей видимости, и взяла на вооружение Google. Возможность экспорта passkey, хранимых в Google Password Manager, позволит владельцу Android-гаджета с легкостью перенести их, к примеру, в iCloud Keychain, когда ему сюрпризом презентовали iPhone.

Наличие такого механизма также снижает риск потери доступа к аккаунту в случае кражи девайса: ключи можно будет восстановить из заранее созданных резервных копий.

Один из фрагментов кода бета-версии Google Play Services 25.13.31 содержит строки, свидетельствующие о расширении функциональности импорта Google Password Manager: он теперь будет блокировать экспорт passkey в ненадежные приложения во избежание злоупотреблений и выводить соответствующее предупреждение.

<code>&lt;string name="pwm_export_credentials_blocked_importer_message"&gt;Export blocked for your protection&lt;/string&gt;
 &lt;string name="pwm_export_credentials_blocked_importer_sub_message"&gt;The password manager you’re trying to export to doesn’t follow best practices&lt;/string&gt;</code>

Сроки развертывания нововведения, способного еще больше расширить Google-аудиторию поклонников passkey, пока не оглашены. В прошлом году техногигант с той же целью реализовал кроссплатформенную поддержку passkey для пользователей Chrome.

Microsoft добавила в Sysmon детектирование внедрения в процессы Windows

Читайте также