realtek 0-day эцп уязвимость Kaspersky
*securelist.com Наверняка вы уже слышали про уязвимость нулевого дня, касающуюся ярлыков. Суть в том, что
все актуальные версии Windows, не зависимо от разрядности, имеют уязвимость в обработке ярлыков. Система отображает иконку ярлыка на сменном/сетевом диске в Проводнике/Тотал Командере/аналоге и выполняется вредоносный код. Вот так просто. Никаких вам примитивных autorun.inf, только отображение иконки. Носитель -> Открытие -> Получение списка файлов (вредоносные могут быть скрыты и в список не попасть, это не важно) -> Отображение иконок файлов =>
Отображение иконок ярлыков вредоносов -> Заражение системы. Здорово? А хотите больше?
А вот вам больше. Об уязвимости узнали, когда ITW обнаружили вредоносов, использующих эту уязвимость.
Вредоносы имели ЭЦП Realtec. Как вам это? Вредоносы с ЭЦП ставят под удар всю текущую систему безопасности всех ОС.
Теперь хронология событий и сопровождающих статей.
17 июня компания "ВирусБлокАда" обнаружила вредоноса, подписанного Реалтеком и использующего зеро-дей:
anti-virus.by Это руткиты, которые ставят драйвер, когда файловый менеджер отображает их ярлыки.
10 июля компания "ВирусБлокАда" сообщает об этом в паблике:
secureblog.info (по-русски:
ifolder.ru )
11 июля компания "ВирусБлокАда" создает топик обсуждения на Anti-Malware:
anti-malware.ru
15 июля компания "Лаборатория Касперского" публикует первые результаты исследования:
securelist.com Александр Гостев немного дополняет коллег из "ВирусБлокАды" и наводит туман, говоря что название "Мирт и гуава" не просто так дано.
15 июля компания "Лаборатория Касперского" публикует продолжение исследования:
securelist.com Александр Гостев больше раскрывает ситуацию с электронной цифровой подписью; отмечает, что срок действия сертификата истек 12 июня, что практически совпадает с датой обнаружения вредоноса экспертами VBA. Также сообщает, что ЛК заблокировала для своих продуктов подпись Реалтека через сервис KSN. Это означает, что KAV/KIS 2009 и выше не доверяют этой подписи Реалтек.
15 июля компания "Лаборатория Касперского" публикует новую часть исследования:
securelist.com В третье части Алекс рассказывает о распространении вредоноса Stuxnet (такое название он получил) в мире, согласно данным KSN. В записи конкретные цифры, георгафия и предположения. Также появляется ответ на вопрос, почему "мирт и гуава".
16 июля широко известный в узких кругах
Sp0raw создает на Anti-Malware ветку обсуждения доверия подписям:
anti-malware.ru Важно понимать, что сейчас наиболее популярные ОС (не только Windows) работают как раз на основе такого доверия. На основе доверия работают и многие программы. Именно это я имел в виду, говоря о том, что под ударом вся схема безопасности.
16 июля компания Microsoft публикует запись о вредоносе. Там же указано, что подпись
была отозвана.
----------
Из-за ограничение на длину записи пришлось разбить ее на две. Через несколько секунд выложу вторую часть