Защитниците на Windows са изправени пред нов начин, по който атакуващите могат да скрият дейността си, след като получат администраторски достъп.
Техниката злоупотребява с връзките за свързване (bind links) в Windows – легитимна функция, която пренасочва един файлов път към друг, без да променя оригиналния файл на диска.
Вместо да поставя видим заместващ файл или да модифицира софтуера за сигурност, атакуващият може да накара доверен път тихо да върне злонамерен код.
Това създава разлика между това, което даден процес изпълнява, и това, което инструментите за защита на крайни точки (EDR) вярват, че проверяват.
Bitdefender заяви в доклад, споделен с Cyber Security News (CSN), че проблемът засяга съвременните системи Windows, след като атакуващ получи локални администраторски привилегии.
Изследователите споделят, че техниката може да отслаби откриването на заплахи на крайни точки, контрола на приложенията, регистрирането на събития (logging) и механизмите за сканиране, които се доверяват на файловия път като надеждна идентичност.
Изследването не описва самостоятелно семейство зловреден софтуер или масова кампания за експлоатация. Вместо това то детайлизира метод за избягване на откриването след компрометиране на системата, който може да даде на операторите на ransomware и други натрапници друг начин да намалят видимостта си, след като поемат контрола над устройство с Windows.
Връзките за свързване се управляват от драйвера Windows Bind Filter и обикновено се използват за функции за виртуализация, включително Windows контейнери и изолирани среди (Sandbox).
За разлика от символната връзка (symbolic link), връзката за свързване се съхранява в паметта, а не като видим обект във файловата система, което прави нормалното изброяване на файлове много по-малко полезно за откриването ѝ.
Методът може също така да маскира файл, който вече съществува. Подписана, чиста програма може да остане недокосната на диска, докато процесите, които отварят нейния път, получават различен, контролиран от атакуващия файл чрез филтърния слой. Тази разлика е от ключово значение за техниката за свързване на файлове (File-Binding) на изследователите.
С File-Binding злонамерен субект може да пренасочи път към доверена DLL библиотека към заместваща библиотека, която излага очакваните функции, но не извършва проверки за сигурност.
В една демонстрация подходът е накарал PowerShell да зареди фалшив AMSI компонент, позволявайки на скриптовете да изглеждат чисти, без да се коригира уязвимост в реалния файл на Windows.
Същият принцип може да засегне EDR сензорите в потребителски режим (user-mode), компонентите за проследяване на събития и криминалистичните инструменти, които отварят отново файлове по-късно за анализ.
Това надгражда опасенията, повдигнати в по-ранни доклади относно заобикалянето на MiniFilter EDR в Windows, където компонентите на файловата система на ядрото също показаха, че създават възможности за нарушаване на видимостта на крайните точки.
Втората техника, свързване на процеси (Process-Binding), прилага пренасочването към изпълним файл. Windows може да докладва доверения изходен път по време на създаването на процеса, въпреки че различен изпълним файл предоставя кода, който действително се изпълнява.
Това може да компрометира списъците с разрешени файлове (allowlisting), базирани на пътища, валидирането на подписи и таблата за сигурност, които разчитат на съобщеното име на изображението. Екипите по сигурността и преди са проследявали техники за заобикаляне на EDR с ниски привилегии, които използват маскиране и измамни пътища, но връзките за свързване преместват измамата в самото разрешаване на файлове в Windows.
Silo-Binding е най-модерният вариант, описан в изследването. Той използва Windows silo – граница на изолация зад контейнери и изолирани среди, за да накара същия път да се разрешава по различен начин вътре и вън от изолираната група процеси.
Вътре в silo структурата, пътят към изпълним файл, който изглежда доверен, може да доведе до изпълнение на злонамерен код.
Извън нея, EDR платформа, криминалистичен инструмент или администратор, проверяващ същия път, може да бъде пренасочен обратно към легитимния файл, създавайки убедителна, но фалшива представа за системата.
Това разделяне може да засегне AppLocker, защитната стена на Windows (Windows Firewall), хеширането на Sysmon и отложените работни процеси за сканиране.
Констатацията е особено забележителна заедно с неотдавнашен недостатък в политиката на Microsoft AppLocker, който по подобен начин показа как допусканията за контрол на приложенията могат да оставят място за неоторизирано изпълнение.
Sysmon може да запише името на доверената програма и хеша на чистия файл вместо кода, който се е изпълнил в изолираната среда.
Следователно разследващите, търсещи известен злонамерен хеш, не биха открили съвпадащи събития, докато регистрационните файлове все още изглеждат нормални.
Докладът препоръчва доставчиците на решения за сигурност да проверяват реалния съпътстващ файл, вместо да се доверяват само на пътищата за създаване на процеси.
Те трябва да повтарят това валидиране по време на отложено хеширане, сканиране и операции по отстраняване на последствията, както и да изброяват активните съпоставяния на връзки за свързване, за да идентифицират пренасочвания в рамките на изолирани среди.
Организациите също така трябва да попитат доставчиците на сигурност за крайни точки дали техните продукти валидират идентичността на съпътстващия файл при стартиране и по време на по-късни проверки на файлове.
Екипите могат да укрепят практиките за разследване чрез съпоставяне на дейността на процеса с разработването на контейнери или изолирани среди, необичайни административни действия и други признаци за заобикаляне на защитата, включително методи за заобикаляне на регистрационните файлове на PowerShell.