Используя атаку KHOBE, злоумышленники могут отключить антивирусную защиту

В сентябре 2007 года специалисты компании Matousec опубликовали статью, в которой рассказывали о найденной ошибке затрагивающая десятки продуктов для обеспечения безопасности. Проблема была в том, что все уязвимые продукты использовали системные вызовы в таблицу системных вызовов ядра (SSDT) — а найденная ошибка, могла привести к случайных сбоев системы или к более серьезных проблем безопасности.

В начале этого месяца, точнее 5 мая, на сайте matousec.com появилась новая статья, в которой подробно рассказывается о том как, используя аналогичную уязвимость, злоумышленники могут обойти механизмы защиты разных продуктов. Как известно, для того чтобы вирусописатели достигли своих целей нужно чтобы система была беззащитной (в том числе уязвимая), или чтобы как-то отключить имеющиеся средства защиты.

В принципе, защита которую можно отключить является наиболее опасной чем беззащитная система. Ведь, пользователь который хочет спать спокойнее но не имеет возможность сам позаботиться о безопасности, установил программу которая должна защитить его, но, как оказалось её запросто можно отключить.

Интересно что, даже зная об этой уязвимости, кажется многие производители антивирусного ПО не заинтересованные проблемой, не смотря на то, что именно они (производители) решили модифицировать ядро механизма системного вызова чтобы 'обеспечивать' более надежную защиту.

Помимо того как можно отключить и обойти защиту антивирусное ПО, в опубликованной недавно статье был указан полный список этих программ:

3D EQSecure Professional Edition 4.2
avast! Internet Security 5.0.462
AVG Internet Security 9.0.791
Avira Premium Security Suite 10.0.0.536
BitDefender Total Security 2010 13.0.20.347
Blink Professional 4.6.1
CA Internet Security Suite Plus 2010 6.0.0.272
Comodo Internet Security Free 4.0.138377.779
DefenseWall Personal Firewall 3.00
Dr.Web Security Space Pro 6.0.0.03100
ESET Smart Security 4.2.35.3
F-Secure Internet Security 2010 10.00 build 246
G DATA TotalCare 2010
Kaspersky Internet Security 2010 9.0.0.736
KingSoft Personal Firewall 9 Plus 2009.05.07.70
Malware Defender 2.6.0
McAfee Total Protection 2010 10.0.580
Norman Security Suite PRO 8.0
Norton Internet Security 2010 17.5.0.127
Online Armor Premium 4.0.0.35
Online Solutions Security Suite 1.5.14905.0
Outpost Security Suite Pro 6.7.3.3063.452.0726
Outpost Security Suite Pro 7.0.3330.505.1221 BETA VERSION
Panda Internet Security 2010 15.01.00
PC Tools Firewall Plus 6.0.0.88
PrivateFirewall 7.0.20.37
Security Shield 2010 13.0.16.313
Sophos Endpoint Security and Control 9.0.5
ThreatFire 4.7.0.17
Trend Micro Internet Security Pro 2010 17.50.1647.0000
Vba32 Personal 3.12.12.4
VIPRE Antivirus Premium 4.0.3272
VirusBuster Internet Security Suite 3.2
Webroot Internet Security Essentials 6.1.0.145
ZoneAlarm Extreme Security 9.1.507.000

Стоит отметить, что самое опасное во всём этом, это то, что злоумышленники могут эксплуатировать уязвимость не имея значение под какой учётной записи работает пользователь. То есть, не важно кто работает на компьютере: администратор или непривилегированный пользователь — всё равно, он подвергается опасности. Более подробной информации об этой атаке, так называемой KHOBE — можно прочитать в статье: KHOBE – 8.0 earthquake for Windows desktop security software.