Güvenlik araştırmacıları, saldırganların çeşitli antivirüs ürünlerini devralmak için Microsoft'un Uygulama Doğrulayıcı aracını kullanabileceğini keşfetti. İsrail merkezli güvenlik firması Cybellum, DoubleAgent adlı yeni bir saldırı yönteminin, McAfee, Panda, Avast, AVG, Avira, F-Secure, Kaspersky, Malwarebytes, Bitdefender, Trend Micro, Comodo dahil, virüs saldırılarını önlemek için oluşturulan Windows araçlarından yararlandığını iddia ediyor ve ESET - ve kötü amaçlı yazılım olarak kullanmalarını sağlayın.

Cybellum, DoubleAgent saldırısının da diğer antivirüs ürünlerinden ödün verebileceğini söyledi. Yöntem, hataları saptamak ve üçüncü taraf Windows programlarının güvenliğini artırmak için çalışan bir çalışma zamanı doğrulama sistemi olan Microsoft Application Verifier'ı değiştirerek çalışır. Araç, Windows XP'den Windows 10'a dahil edilmiştir.

DoubleAgent nasıl çalışır?

Cybellum, DoubleAgent'ın çalışma şeklini açıkladı:

Araştırmacılarımız, saldırgana standart doğrulayıcıyı kendi özel doğrulayıcı ile değiştirme olanağı sağlayan belgesiz bir Uygulama Doğrulayıcı yeteneği keşfetti. Saldırgan bu yeteneği herhangi bir uygulamaya özel bir doğrulayıcı enjekte etmek için kullanabilir. Özel doğrulayıcı enjekte edildikten sonra, saldırganın uygulama üzerinde tam kontrolü vardır. Uygulama Doğrulayıcı, hataları keşfederek ve düzelterek uygulama güvenliğini artırmak için yaratılmış ve ironik olarak DoubleAgent bu özelliği kötü amaçlı işlemler yapmak için kullanmaktadır.

Sorun Windows içinde değil, antivirüs ürünlerini sunan güvenlik satıcılarında yatmaktadır. Cybellum, DoubleAgent'ın duyarlı antivirüs programlarını kullanan kuruluşlara saldırmak için kullanılabileceğini iddia ediyor. Malwarebytes, AVG ve Trend Micro, ürünleri için sorunu çözen satıcılardan bazılarıdır. Windows Defender, Korumalı İşlemler adı verilen bir Windows mekanizması kullanması nedeniyle DoubleAgent'a bağışık olan tek antivirüs ürünü gibi görünüyor. Mekanizma, kullanıcı modunda çalışan kötü amaçlı yazılım önleme hizmetlerini güvence altına alır.

hafifletme

Microsoft, Güvenli ve İmzalı kod yüklemesine izin vermek için Korumalı İşlemler sunar. Bu nedenle, saldırganlar kodu olarak bir sıfır günlük teknik bulsalar bile, DoubleAgent'ı virüsten korumaya karşı kullanamaz. Cybellum'un izniyle GitHub'da artık bir kavram kanıtı saldırı kodu bulunuyor.