Вирусы-шифровальщики могут просто обходить защиту Windows Defender

В 2017 году, после массовых атак WannaCry, Patya.A (NotPetya) и популяризации в криминальной среде Ransomware-as-a-Service (RaaS, "Вымогатель как услуга"), стало очевидно, что борьба с шифровальщиками и вымогательскими программами является одним из главных приоритетов для производителей защитных решений и операционных систем.

В составе Windows 10 Fall Creators Update, компания Microsoft представила обновленную версию Windows Defender, которая обзавелась функцией Controlled Folder Access ("Контролируемый доступ к папкам").

Функция Controlled Folder Access позволяет создать список папок, которые требуется защитить. Когда приложение попытается произвести с папками из списка какие-то подозрительные действия или модифицировать файлы, Windows Defender проверяет, числится ли приложение в белом списке, и имеет ли оно право на выполнение запрашиваемых файловых операций. Если приложение не обнаруживается в списке разрешенных, Windows Defender блокирует операцию, помещает программу в черный список и уведомляет пользователя о происшедшем.

Controlled Folder Access имеет всего две простые настройки. Первая позволяет пользователю добавить в список любые необходимые папки, будь то рабочие документы или семейные фото (по умолчанию Windows Defender защищает только Documents, Pictures, Movies и Desktop). Вторая опция позволяет составить список доверенных приложений, которые могут изменять содержимое защищенных директорий. Большинство приложений корпорации Microsoft сразу отмечены как "дружественные" и уже внесены в белый список.

Специалист по информационной безопасности компании SecurityByDefault обнаружил, что обмануть Controlled Folder Access не так уж трудно. Приложения пакета Microsoft Office по умолчанию включены в белый список, то есть им разрешается производить действия с файлами, хранящимися в защищенных папках.

Исследователь пишет, что операторы шифровальщиков могут использовать для обмана защиты обычные OLE-объекты, помещенные в файлы Office. В своем отчете специалист приводит простые примеры эксплуатации выявленного дефекта: вредоносный документ Office перезаписывает содержимое других документов, находящихся в защищенной Controlled Folder Access директории, или копирует их содержимое в другие, незащищенные папки, шифрует полученные файлы, а затем удаляет оригиналы.

Инженеры Microsoft, после получения детального описания выявленного дефекта, не стали классифицировать его как уязвимость, но пообещали учесть эту особенность в будущем и научить Controlled Folder Access предотвращать такие "обходные маневры".