这个名为“双面间谍”的攻击手法 竟然可把杀软变成恶意软件

被称为“双面间谍”的零日攻击可接管Windows主机上的杀毒软件，并将之转变为能够加密文件索要赎金、渗漏数据或格式化硬盘的恶意软件。

从2001年推出的XP到2015年推出的 Windows 10，有一个功能始终延续。正是在此功能基础上，该攻击得以对安全厂商Cybellum测试的所有14家厂商杀软产品都有效，而且对机器上运行的其他进程也有效。

“双面间谍”目前仅被Cybellum发现，尚无野生漏洞利用出现。

“已向所有主要厂商报告了该攻击，厂商认可了漏洞的存在，目前正在寻找解决方案，准备发布补丁。”

遵守负责任漏洞披露标准，早在90天前，通告就已发向厂商，给厂商留了修复时间。

被通知的14家杀软厂商中，有2家已经采取措施处理该问题了——AVG和Malwarebytes。其他12家被通知的厂商是：Avast、小红伞、Bitdefender、趋势科技、Comodo、ESET、F-Secure、卡巴斯基、迈克菲、熊猫、Quick Heal和诺顿。

Cybellum表示，杀软平台没有明显缺陷；DLL可以被插入任意进程。选择它们做测试攻击，仅仅因为这些杀软进程被计算机上其他应用(包括其他安全软件)所信任，是很有效的攻击界面。

杀软是我们可以做的最重要攻击。如果你攻击某家公司，不仅仅是消费者，整家公司都可以被完全接管。没有其他安全防护会去检查杀软。这一整堆安全产品都可以一次性绕过。

AVG和Malwarebytes采用的权变措施涉及修复杀软，让杀软检查试图写入杀软注册表的任意进程并封锁之。

“杀软存在内核，有驱动可以查看几乎所有东西。”

同时，公司企业可以尝试加强对下载的关注，防止“双面间谍”进入主机。

Cybellum称，3年前，微软提出了“受保护进程”的新设计理念供杀软厂商使用，就是专门用来保护杀毒软件的。厂商可以编写自己的平台，以便可被认为是仅允许可信签名代码加载的受保护进程。这样便可防住代码注入攻击了，包括“双面间谍”。

“双面间谍”利用了微软应用程序验证工具的一个怪癖。该工具检测并修复原生应用程序中的漏洞，方法是通过在运行时加载到应用程序中的“验证器提供者DLL”。

微软应用程序验证工具允许创建新的验证器DLL，还可以用一组键值在注册表中进行注册。

一旦DLL被注册成某进程的验证器提供者DLL，该DLL就会在进程每次启动时，被Windows加载器注射到该进程中，即便系统重启/更新/重装/打补丁之后都如此。

换句话说，该DLL成功驻留了。

该漏洞实际上就是微软应用程序验证工具的未公开功能，也是Windows内核的一部分。所以，短期内是不太可能移除的。

该攻击甚至脚本小子级别的初级黑客都能执行。攻击代码可直接从恶意网站下载，或者通过打开恶意附件加载。

本文转自d1net（转载）