A Microsoft beépített vírusirtója nehéz időszakon megy keresztül. Egy nemrég nyilvánosságra hozott exploit, amely a ShieldCrash nevet kapta, megkerüli a vállalat legutóbbi Windows Defender javítását, méghozzá olyan gépeken, amelyek teljesen naprakészek. Egy olyan biztonsági eszköz esetében, amelyre több millió Windows-felhasználó támaszkodik alapértelmezés szerint, ez nem kis probléma. Ráadásul nem ez az első eset a közelmúltban, és éppen ez teszi ezt a Microsoft Defender nulladik napi sebezhetőséget figyelemre méltóvá.
A beragadó javítások mintázata
Ez a legújabb megkerülés nem a semmiből bukkant fel. Olyan nyilvánosságra hozatalok sorát követi, amelyek a Windows Defendert célozzák, köztük egy RoguePlanet becenevű, súlyos besorolású hibát, amelyre korábbi tudósításokban ShieldBreakként is hivatkoztak, és amely maga is képes volt megkerülni egy korábbi javítást. Nagyjából ugyanebben az időben egy másik, külön nyilvántartott és szintén ShieldBreaknek nevezett hiba hivatalos javítás nélkül és a CISA 14 napos határidejével hagyta a biztonsági csapatokat, hogy biztosítsák a szövetségi rendszereket.
A Microsoft végül kiadott egy javítást arra a problémára. A ShieldCrash az, ami ezután történt: egy proof-of-concept, amely megkerüli éppen azt a javítást, és egy lezártnak hitt fejezetet újra nyitottá tesz. A mintázat mára elég ismerős ahhoz, hogy önmagában leírjuk: találnak egy hibát, a Microsoft kijavítja, majd viszonylag rövid időn belül egy új technika legyőzi a javítást.
Mit tesz valójában a ShieldCrash
A lényegi probléma mély technikai részletek nélkül is egyszerűen elmagyarázható. A Windows Defendernek fel kellene ismernie és blokkolnia a rosszindulatú tevékenységet, mielőtt az kárt okozhat. Amikor egy ShieldCrashhez hasonló megkerülés olyan rendszereken is működik, amelyek már telepítették a legújabb biztonsági frissítést, az azt jelenti, hogy arra a védelmi rétegre, amelyre a legtöbb Windows-felhasználó támaszkodik, nem lehet úgy tekinteni, hogy a hirdetett módon működik, függetlenül attól, mennyire tűnik naprakésznek a rendszer. Ahogy a ShieldCrash exploit korábbi tudósításában beszámoltunk róla, a hiba kifejezetten azokat a gépeket célozza, amelyek már telepítették a korábbi rést betömni hivatott javítást, és éppen ez különbözteti meg egy rutin sebezhetőségi bejelentéstől.
A hétköznapi felhasználók számára a technikai mechanizmus kevésbé számít, mint a gyakorlati következmény: egy teljesen javított Windows-rendszer nem feltétlenül teljesen védett. Ezt a különbséget könnyű figyelmen kívül hagyni, amikor a Windows Update mindent naprakészként jelez.
Egy elromlott vírusirtó adatvédelmi következményei
Itt lép túl a történet egy szűk technikai hibán, és válik valami olyanná, ami a mindennapi adatvédelemre is kihat. A vírusirtó és végpontvédelmi eszközök nem csupán a régi értelemben vett vírusok blokkolásáról szólnak. A Defender kiváltságos helyzetben van a rendszeren: fájlokat szűr, folyamatokat figyel, és végső védelmi vonalként működik a hitelesítő adatokat ellopó, billentyűleütéseket naplózó vagy személyes fájlokat kiszivárogtató kártevőkkel szemben. Amikor ezt a védelmet meg lehet kerülni, a kockázat nem elvont. Az adatlopó programok, kémprogramok és távoli hozzáférési eszközök pontosan azok a kártevőtípusok, amelyek akkor virágoznak, amikor a végpontvédelem csendben meghibásodik, mert a felhasználónak semmilyen látható jele nincs annak, hogy valami nincs rendben.
Az ismétlődő megkerülések egy másfajta bizalmat is aláásnak: azt a feltételezést, hogy a frissítések telepítése egyenlő a biztonsággal. Ez a feltételezés számos mindennapi biztonsági magatartás alapja, az online bankolástól a helyben tárolt érzékeny dokumentumokig. Amikor a javításokat heteken belül megkerülik, ezt a feltételezést újra kell gondolni, legalábbis mindazoknak, akik érzékeny személyes vagy pénzügyi adatokat kezelnek Windowson.
Mit jelent ez az Ön számára
Ha kizárólag a Windows Defenderre támaszkodik egyetlen védelmi vonalként, ez egy ésszerű pillanat az újraértékelésre, nem a pánikra. Az ehhez hasonló nulladik napi bejelentések jellemzően helyi hozzáférést vagy különleges feltételeket igényelnek a kihasználáshoz, és a Microsoftnak van arra vonatkozó múltja, hogy reagál, még ha a javítások nem is mindig tartottak. A nagyobb tanulság az, hogy egyetlen biztonsági eszközt sem szabad tévedhetetlennek tekinteni, bármennyire is jól integrált az operációs rendszerbe.
A most érdemes megtenni lépések közé tartozik az automatikus frissítések bekapcsolva tartása, hogy a javításokat azonnal megkapja, amint megjelennek, az ellenőrizetlen forrásokból származó letöltések elkerülése, amíg ez a probléma megoldatlan, valamint további védelmi rétegek fontolóra vétele, például egy jó hírű másodlagos biztonsági eszköz vagy óvatosabb böngészési szokások az érzékeny fiókok esetében. Különösen a vállalati IT-csapatoknak kell szorosan figyelniük a Microsoft tanácsadóit, és készen kell állniuk a nyomon követő javítások gyors alkalmazására, mivel ez a mintázat arra utal, hogy további frissítések jöhetnek.
Ezen Windows Defender megkerülések visszatérő jellege emlékeztet rá, hogy a biztonság rétegekből áll, nem egyetlen pontból. A ShieldCrashhez hasonló bejelentésekről való tájékozottság, a frissítések azonnali alkalmazása és annak elkerülése, hogy bármely eszközre teljes védőhálóként támaszkodjunk, a legpraktikusabb módjai annak, hogy lépést tartsunk egy olyan problémával, amelyet a Microsoft egyelőre nem zárt le teljesen.
