Evadarea Autoruns sau: nu vă bazați doar pe Autoruns pentru securitate
- Categorie: Ferestre
Autoruns este un program popular pentru Windows pentru a analiza toate fișierele, programele și alte elemente care rulează la pornirea sistemului.
Este probabil cel mai folosit instrument în acest scop și include o mulțime de caracteristici drăguțe, precum scanarea fișierelor pe Virustotal, ascunderea intrărilor Microsoft sau gestionarea fișierelor de autorunizare pentru a dezactiva sau șterge elemente direct din program.
Evadarea autorilor este o lucrare de cercetare a lui Kyle Hanslovan și Chris Bisnett de la Huntress care dezvăluie mai multe metode de evaziune pe care utilizatorii nocivi ar putea să le utilizeze pentru a ascunde activități pe computer sau într-o rețea.
Cercetătorii dezvăluie mai multe metode pe care atacatorii le pot folosi pentru a-și ascunde activitatea. Comenzile amplificate, de exemplu, pot fi utilizate pentru a executa mai multe programe folosind un singur element de pornire. Aceste comenzi, de ex. &&, & sau || combinați una sau mai multe comenzi, de obicei adăugând o comandă dăunătoare după o comandă legitimă.
Una dintre problemele care apar în Autoruns este aceea că mulți utilizatori au configurat programul pentru a ascunde intrările Microsoft, deoarece sunt considerați salvați de mulți. Problema este că ascunderea intrărilor Microsoft poate ascunde aceste construcții de comandă.
Alte tehnici pe care le descriu cercetătorii de securitate sunt:
- Shell32.dll Indirecție
- Hijacking DLL
- SyncAppvPublishingService
- Service DLL Bug
- Eroare a comenzii de extindere a căutării
- SIP Hijacking
- Scriptle .INF
Cercetătorii ajung la concluzia că Autoruns este un instrument excelent pentru enumerarea programelor și fișierelor de pornire, dar că nu este un instrument de securitate.
Aceștia sugerează că administratorii și utilizatorii le folosesc pentru a enumera date și că analizează datele pe care instrumentul strâns le folosește cu alte mijloace. Atacatorii vor folosi aceste tehnici și altele mai complexe pentru a sustrage detectarea în Autoruns.
În ceea ce privește lucrurile pe care le puteți face pentru a face mai dificil pentru atacatori să ascundă ceva, este util următoarele:
- Nu ascundeți intrările Microsoft și Windows în Autoruns. Găsiți opțiunea în Opțiuni> Ascundeți intrări și Opțiuni Microsoft> Ascundeți intrările Windows. Aceasta afișează mai multe date, dar este important să le vedem din punct de vedere al securității.
- Activați opțiunile „verificați semnăturile codului” și „verificați virustotal.com” în Opțiuni> Opțiuni de scanare.
- Examinați orice înregistrări cmd.exe, pcalua sau SyncAppvPublishingService.
- Parcurgeți toate intrările și căutați comenzi cuibare (poate fi mai ușor să utilizați opțiunile liniei de comandă pentru a enumera toate și utilizați operațiunile de găsire pentru a parcurge listarea).
Acum tu : cum enumerați obiectele autorun și să le veterinați? (prin intermediul Deskmodder . TechNet )