Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Falla in Windows e l’antivirus non controlla gli script

Feb 20, 2018 Marco Schiaffino News, RSS, Vulnerabilità 0

Il bug coinvolgeva il sistema che sottopone a scansione alcuni comandi prima di eseguirli. Bastava un carattere nullo per aggirare il controllo.

Aggirare i controlli del software antivirus su un PC è il sogno di qualsiasi pirata informatico. Una possibilità di farlo, si scopre ora, esisteva grazie a una falla di Windows che avrebbe consentito di bypassare alcuni controlli che il sistema avvia attraverso un componente chiamato Anti-Malware Scan Interface (AMSI).

AMSI è stato introdotto con Windows 10 e ha il compito di “collaborare” con l’antivirus installato sul sistema (non solo Microsoft) inviando i file da analizzare. In particolare, il componente concentra la sua attenzione su elementi particolarmente a rischio, come PowerShell e VBScript.

Il problema, come spiega il ricercatore Satoshi Tanda, è che basta che lo script o il comando in questione abbia un carattere nullo all’inizio del codice e AMSI… lo ignora! La colpa è di AmsiScanString, un

Sul suo blog, Tanda mostra un esempio pratico di come sia possibile sfruttare il bug, mostrando le reazioni diverse di AMSI di fronte a un PowerShell che richiama Mimikatz, uno strumento di hacking piuttosto “standard”. La versione “normale” del PowerShell viene intercettata, controllata e bloccata.

Il codice viene individuato come pericoloso e bloccato. AMSI ha fatto il suo dovere.

Inserendo però un carattere nullo prima della porzione di codice che invoca Mimikatz, AMSI ignora completamente le istruzioni malevole e non esegue il controllo.

Nessun controllo, nessun blocco. L’attacco è andato a buon fine.

La vulnerabilità, grazie alla segnalazione del ricercatore, è stata corretta da Microsoft sostituendo il componente AmsiScanBuffer al posto di AmsiScanString all’interno di System.Management.Automation.dll. Le versioni aggiornate del sistema operativo, quindi, non cadono più nel tranello.

Please follow and like us: