Эксплоиты для windows 10

Как настроить Защиту от эксплойтов в Windows 10

Exploit Guard- новая функция безопасности Защитника Windows, которая была впервые представлена Microsoft в Windows 10 Fall Creators Update.

Защита от эксплойтов представляет собой интегрированную версию инструмента Microsoft EMET (Enhanced Mitigation Experience Toolkit), поддержка которого завершится в середине 2018 года.

Защита от использования уязвимостей включена по умолчанию, если активен Защитник Windows. Эта функция является единственной функцией Exploit Guard, которая не требует включения защиты в режиме реального времени.

Данную функцию можно настроить в Центре безопасности Защитника Windows, с помощью групповых политик или команд PowerShell.

Центр безопасности Защитника Windows

Пользователи Windows 10 могут настроить защиту от эксплойтов в Центре безопасности Защитника Windows.

1. Используйте сочетание клавиша Windows + I для запуска приложения “Параметры”.
2. Перейдите в “Обновление и безопасность”, затем выберите пункт “Защитник Windows”.
3. Нажмите кнопку Открыть Центр безопасности Защитника Windows.
4. Выберите панель “Управление приложениями и браузером”.
5. На открывшейся странице выберите ссылку Параметры защиту от эксплойтов.

Все настройки разделены на две категории: Системные параметры и Параметры программ.

На вкладке Системные параметры выводится список всех доступных механизмов защиту с их статусом. В Windows 10 Fall Creators Update доступны следующие защиты:

• Защита потока управления (CFG) — вкл. по умолчанию.
• Предотвращение выполнения данных (DEP) — вкл. по умолчанию.
• Принудительное случайное распределение для образов (обязательный ASLR) — выкл. по умолчанию.
• Случайное распределение выделения памяти (низкий ASLR) — вкл. по умолчанию.
• Проверить цепочки исключений (SEHOP) — вкл. по умолчанию.
• Проверка целостности кучи — вкл. по умолчанию.

Параметры программ дают вам возможность настраивать защиту для отдельных программ и приложений. Данная опция работает аналогично функции исключений в Microsoft EMET для определенных программ. Данная возможность будет особо полезной, если программа ошибочно работает, когда включены определенные защитные модули.

По умолчанию несколько программ добавлены в исключения, в частности svchost.exe, spools.exe, runtimebroker.exe, iexplore.exe и другие основные программы Windows. Обратите внимание, что вы можете переопределить эти исключения, выбрав файлы и нажав кнопку “Редактировать”.

Нажмите ссылку “Добавление программы для индивидуальной настройки”, чтобы добавить приложение в список исключений.

Вы можете установить отдельный статус всех поддерживаемых защит для каждой программы, которую вы добавили в настройках программы. Помимо переопределения системного параметра по умолчанию и принудительного его включения или отключения, существует также возможность установить параметр только для аудита. В последнем случае будет происходить запись событий, которые происходили, если бы статус защиты был включен, в системный журнал Windows.

В списке “Параметры программ” перечислены дополнительные параметры защиты, которые невозможно настроить под системными параметрами, поскольку они настроены для работы только на уровне приложения.

• Защита от произвольного кода (ACG)
• Блокировка образов низкой целостности
• Блокировка удаленных образов
• Блокировка ненадежных шрифтов
• Защита целостности кода
• Отключение точек расширения
• Отключение вызовов системы Win32k
• Не разрешать дочерние процессы
• Фильтрация адресов экспорта (EAF)
• Фильтрация адресов импорта (IAF)
• Имитация выполнения (SimExec)
• Проверка вызовов API (CallerCheck)
• Проверка использования дескриптора
• Проверка целостности зависимостей образа
• Проверка целостности стека (StackPivot)

PowerShell

Вы можете использовать командную строку PowerShell для установки, удаления или изменения списка мер. Доступны следующие команды:

Чтобы просмотреть все защитные меры указанного процесса: Get-ProcessMitigation -Name processName.exe

Чтобы установить защитную меру: Set-ProcessMitigation — — , ,

Область действия: -System или -Name .

Действие: либо -Enable или -Disable .

Мера: название защитной меры. Обратитесь к таблице на сайте Microsoft, чтобы посмотреть список доступных мер. Вы можете отделить несколько мер запятой.

• Set-Processmitigation -System -Enable DEP
• Set-Processmitigation -Name test.exe -Remove -Disable DEP
• Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll, dllName2.dll

Импорт и экспорт конфигураций

Конфигурации можно импортировать и экспортировать. Данные операции можно сделать на странице “Параметров защиты эксплойтов” в Центре безопасности Защитника Windows, а также с помощью PowerShell или редактора групповых политик.

Кроме того, конфигурации EMET можно преобразовать для последующего импорта.

Использование настроек защиты от эксплойтов

Вы можете экспортировать конфигурации в приложении “Центр безопасности Защитника Windows”, но не импортировать их. Экспорт добавляет все меры уровня системы и уровня приложения.

Нажмите ссылку “Параметры экспорта” и выберите местоположение для файла .XML с настройками.

Использование PowerShell для экспорта файла конфигурации

1. Откройте Powershell с правами администратора устройства.
2. Запустите команду: Get-ProcessMitigation -RegistryConfigFilePath filename.xml

Измените путь и filename.xml, указав требуемое местоположение и название файла.

Использование PowerShell для импорта файла конфигурации

1. Откройте Powershell с правами администратора устройства.
2. Запустите команду: Set-ProcessMitigation -PolicyFilePath filename.xml

Использование групповых политик для установки файла конфигурации

Вы можете установить файлы конфигураций с помощью редактора групповых политик:

Источник

Опубликованы подробности о пяти уязвимостях в Windows 10

Эксплуатация некоторых уязвимостей позволяет злоумышленнику повысить привилегии на уязвимой системе.

Исследователи безопасности, работающие с организацией Zero Day Initiative (ZDI) компании Trend Micro, опубликовали информацию о пяти неисправленных уязвимостях в Microsoft Windows, четыре из которых являются опасными.

Три уязвимости ( CVE-2020-0916, CVE-2020-0986 и CVE-2020-0915 ) получили оценку в 7,0 балла по шкале CVSS, их эксплуатация позволяет злоумышленнику повысить привилегии на уязвимой системе и выполнить код в контексте текущего пользователя. Уязвимости были обнаружены в хост-процессе splwow64.exe пользовательского режима драйвера печати и связаны с тем, что введенные пользователем данные не проверяются должным образом до разыменования в качестве указателя. Тот же хост-процесс содержал уязвимость раскрытия информации (CVE-2020-0915), получившую оценку в 2,5 по шкале CVS.

Специалисты сообщили Microsoft о своих находках в декабре 2019 года, и компания намеревалась выпустить патч в рамках майского «вторника исправлений» 2020 года, но не успела этого сделать. Экспертам были представлены только бета-версии исправлений.

Последняя уязвимость (пока ей не присвоен идентификатор CVE), получившая оценку в 7,0 балла по шкале CVSS, позволяет злоумышленникам повышать привилегии и связана с обработкой профилей подключения WLAN. Создав вредоносный профиль, злоумышленник может раскрыть учетные данные учетной записи компьютера и использовать данную уязвимость для повышения привилегий и выполнения кода в контексте администратора.

Исследователи проинформировали Microsoft о данной проблеме в январе, но компания заявила, что не будет выпускать патч для уязвимости.

Подписывайтесь на каналы «SecurityLab» в Telegram и Twitter, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.

Источник

Для критической уязвимости в Windows 10 созданы PoC-эксплоиты

Киберкомандование США настоятельно рекомендует установить исправление для уязвимости Bad Neighbor.

Кибернетическое командование США призвало пользователей продуктов компании Microsoft как можно скорее установить обновление, исправляющее критическую уязвимость CVE-2020-16898 . Обновление было выпущено в рамках очередного «вторника исправлений» 13 октября 2020 года.

«Обновите ваше ПО от Microsoft сейчас, чтобы обезопасить свои системы от эксплуатации уязвимостей: в частности, необходимо исправить или смягчить CVE-2020-16898, поскольку уязвимые системы могут быть скомпрометированы удаленно», – гласит сообщение , опубликованное Киберкомандованием США в Twitter в среду, 14 октября.

CVE-2020-16898, получившая название Bad Neighbor, представляет собой уязвимость удаленного выполнения кода в Windows TCP/IP, которая также позволяет вызвать отказ в обслуживании и «синий экран смерти» (BSOD). Проэксплуатировать уязвимость может удаленный неавторизованный пользователь путем отправки на уязвимый Windows-ПК вредоносных пакетов ICMPv6 Router Advertisement.

Bad Neighbor затрагивает как клиентские (Windows 10 с 1709 до 2004), так и серверные (Windows Server с 1903 до 2004 и Windows Server 2019) версии ОС, что делает ее критической уязвимостью для всех современных сред Windows.

Microsoft уже предоставила участникам программы Microsoft Active Protections Program (MAPP) PoC-эксплоит, позволяющий вызвать BSOD. Кроме того, свой PoC-эксплоит также создала компания Sophos. Вероятно, уже в скором времени свои эксплоиты разработают и киберпреступники, поэтому очень важно установить исправление для Bad Neighbor.

В случае временной невозможности установить обновление Microsoft рекомендует отключить на Windows 10 1709 и выше опцию ICMPv6 Recursive DNS Server (RDNSS) с помощью команды PowerShell (перезагрузка не требуется): netsh int ipv6 set int *INTERFACENUMBER* rabaseddnsconfig=disable

После установки патча ICMPv6 RDNSS можно снова включить с помощью команды PowerShell (перезагрузка не требуется): netsh int ipv6 set int *INTERFACENUMBER* rabaseddnsconfig=enable

MAPP – программа компании Microsoft, целью которой является обеспечение ведущим разработчикам решений информационной безопасности возможности оперативно получать сведения о выявляемых уязвимостях в ПО Microsoft, для которых еще не разработаны обновления безопасности. Программа MAPP была открыта в 2008 году, в число ее участников входят мировые лидеры разработки решений в области информационной безопасности.

Подписывайтесь на каналы «SecurityLab» в Telegram и Twitter, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.

Источник