حل مشکل Zero-Days ویندوز ۱۰ بدون پچ کردن

پژوهشگران شرکت مایکروسافت پی برده اند که سیستم های دارای ویندوز ۱۰ Anniversary Update در مقابل دو برنامه مخرب محافظت شده اند، حتی قبل از این که مایکروسافت patch های اصلاحی برای آنها ارائه کند.

گویا آی تی – پژوهشگران مایکروسافت پی برده اند دو برنامه مخرب zero-day که این شرکت در ماه نوامبر patch های آن را ارائه کرده است، بر روی سیستم های دارای ویندوز ۱۰ Anniversary Update تاثیر نداشته اند.
این شرکت تست هایی انجام داده که چگونه جدیدترین قابلیت های کاهش سوء استفاده داخلی ویندوز ۱۰ و Edge، از جمله sandboxing AppContainer و اعتبار سنجی قوی تر، که به همراه نسخه Anniversary Update در ماه آگوست عرضه شده اند، می توانند روش های متداول سوء استفاده را مسدود کنند.
تیم امنیتی Windows Defender مایکروسافت نسخه Anniversary Update را در برابر CVE-2016-7255، که یک نقص zero-day است، تست کردند. هکرهای Fancy Bear در ماه اکتبر از این نقص برای هدف قرار دادن سازمان های ایالات متحده استفاده کرده بودند. آنها همچنین نقص CVE-2016-7256 که برای حمله به اهدافی در کره جنوبی استفاده شده بود را نیز تست کردند. این دو سوء استفاده از Kernel به افزایش ایمنی منجر شد و در ماه نوامبر patch های آن ارائه شد.

طبق تحلیل مایکروسافت، اگرچه سیستم های دارای نسخه های قدیمی تر ویندوز در معرض آسیب قرار گرفته اند، اما سیستم های دارای Anniversary Update تحت محافظت قرار دارند.
گروه پژوهشATP Windows Defender مایکروسافت اشاره می کنند، ” ما مشاهده کردیم که روش های کاهش سوء استفاده در ویندوز ۱۰ Anniversary Update، که چند ماه قبل از حملات zero-day منتشر شده بودند، موفق شدند که علاوه بر سوء استفاده های خاص، روش های انجام این سوء استفاده ها را نیز خنثی کنند.”
همان طور که آنها متوجه شدند، رفع یک آسیب پذیری به خنثی کردن یک باگ خاص کمک می کند. با این وجود، تسریع در کاهش سوء استفاده می تواند روش های حمله استفاده شده در برنامه های مخرب سوء استفاده کننده گوناگون را از بین ببرد.

گروه Defender می افزاید، ” چنین روش های کاهش دهنده ای می توانند روش های سوء استفاده را از بین ببرند به طوری که یک مزیت تاکتیکی میان مدت ایجاد می کنند، یا می توانند تمام انواع آسیب پذیری ها را مسدود کرده تا تاثیر استراتژیک بلند مدت ایجاد کنند.”
برای مثال، CVE-2016-7255 یک برنامه مخرب Win32k است که همراه با نقص Flash Player zero-day استفاده شده است و کرنل tagWND.strName ویندوز را مورد سوء استفاده قرار داده است. هکرها با خراب کردن ساختار این کرنل عناصر مبنایی خواندن و نوشتن (RW) را به دست آوردند. این گروه با توضیح این موضوع اشاره می کند که دقیقاً چنین روشی در بدافزار پیشرفته کشف شده در سال ۲۰۱۵ با نام Duqu 2.0 استفاده شده بود.
ویندوز ۱۰ Anniversary Update با اعتبار سنجی اضافی از سوء استفاده از این کرنل جلوگیری می کند و اطمینان حاصل می کند که از این کرنل ها برای بدست آوردن عناصر مبنایی RW استفاده نمی شود.

” در تست های ما بر روی این نسخه از ویندوز، برنامه های مخربی که از این روش برای ایجاد یک عنصر اولیه RW در این کرنل استفاده می کنند بی تاثیر هستند. در عوض، این برنامه های مخرب باعث ایجاد وضعیت استثنایی و خطاهای صفحه آبی می شوند.”
در ضمن، تیم امنیتی مایکروسافت پی برد که از طریق اجرای تجزیه فونت در سند باکس AppContainer به جای ویندوز کرنل، برنامه مخرب برای سوء استفاده از آسیب پذیری CVE-2016-7256 خنثی شده است.
” ویندوز ۱۰ Anniversary Updateهمچنین دارای اعتبار سنجی اضافی برای تجزیه فایل فونت است. در تست های ما، برنامه مخرب ویژه برای آسیب پذیری CVE-2016-7256 به سادگی با شکست مواجه شده و قادر به دستیابی به کد آسیب پذیر نیست. ”
مایکروسافت قصد دارد تا در ویندوز Creators Update 10 آتی خود در بهار امسال قابلیت های بیشتری برای کاهش برنامه های مخرب ارائه کند.
مایکروسافت با این کار کاهش پشتیبانی خود از مجموعه ابزار مستقل کاهش دهنده برنامه های مخرب EMET را توجیه کرده است، زیرا این قابلیت های امنیتی جدید جزو ساختار داخلی ویندوز ۱۰ هستند.

پشتیبانی از EMET در ۱۳ جولای ۲۰۱۸ به پایان می رسد، در نتیجه اگر کاربران ویندوز ۷ بخواهند محافظت اضافی ارائه شده توسط EMET را داشته باشند باید قبل از این که پشتیبانی گسترده از ویندوز ۷ در سال ۲۰۲۰ پایان یابد سیستم خود را به ویندوز ۱۰ ارتقاء دهند.