偽のWindowsアップデート

ハッカーは、Windows Updateを介したオペレーティングシステムの更新であることを伝えることで、悪意のあるソフトウェアをダウンロードさせることができると聞きました。本当ですか？はいの場合、どうすれば自分を保護できますか？

通常のハッカーがWindows Updateシステムを介して何かを送信することはほとんど不可能です。

聞いたことは違います。Windows Updateのように見え、インストールするように指示するスパイウェアです。その後、[インストール]をクリックすると、UACプロンプトが表示され、管理者権限が求められます。それを受け入れると、スパイウェアをインストールできます。Windows Updateでは、UAC昇格テストに合格する必要は決してないことに注意してください。Windows Updateサービスは最高の特権を持つSYSTEMとして実行されるため、これは必要ありません。Windows Updateのインストール中に表示される唯一のプロンプトは、ライセンス契約の承認です。

編集：政府がこれを実行できる可能性があるため、投稿に変更を加えましたが、普通の市民としては、とにかく政府から保護することができます。

はい、それは本当だ。

炎のマルウェアは、Windowsの更新処理に欠陥を介してユーザを攻撃しました。作成者は、Windows更新システムにセキュリティホールを発見しました。このセキュリティホールにより、被害者をだまして、マルウェアを含むパッチは本物のWindowsアップデートであると思わせます。

マルウェアの標的は自分自身を守るために何ができますか？あまりない。炎は何年も検出されていませんでした。

ただし、Microsoftは現在、FlameがWindowsの更新として自分自身を隠すことができるセキュリティホールにパッチを適用しました。つまり、ハッカーは新しいセキュリティホールを見つけるか、マイクロソフトに賄beを贈って更新プログラムに署名するか、単にマイクロソフトから署名キーを盗むだけです。

さらに、攻撃者は中間者攻撃を実行するためにネットワーク内の位置にいる必要があります。

つまり、実際には、これは、NSAのような国民国家の攻撃者に対する防御について考える場合に心配しなければならない問題に過ぎないということです。

Windows Updateコントロールパネルのみを使用して、Windowsソフトウェアを更新してください。完全に信頼できないサイトではクリックスルーしないでください。

回答の多くは、Windows更新プロセスの欠陥がFlame Malwareによって使用されたことを正しく指摘していますが、重要な詳細の一部は一般化されています。

Microsoft Technet「Security Research and Defense Blog」へのこの投稿は、「Flame Malware collision attack」と題しています

...デフォルトでは、攻撃者の証明書はWindows Vistaまたはそれ以降のバージョンのWindowsでは機能しません。Windows Vistaまたはより新しいバージョンのWindowsでのコード署名に有効な証明書を偽造するには、衝突攻撃を実行する必要がありました。Windows Vistaより前のシステムでは、MD5ハッシュ衝突なしで攻撃が可能です。

"MD5 Collision Attack" =高度に技術的な暗号化の魔法-私は確かに理解するふりをしない。

Flameが2012年5月28日にKasperskyによって発見され、公開されたとき、研究者は2007年から開発中のコードベースで少なくとも2010年3月から野生で動作していることを発見しました。この1つの脆弱性は、発見されてパッチが適用される前に数年間存在していました。

しかし、Flameは「Nation State」レベルのオペレーションであり、すでに指摘したように、普通のユーザーが3つのレターエージェンシーから身を守るためにできることはほとんどありません。

悪魔の

Evilgradeは、ユーザーが偽の更新を挿入することにより、貧弱なアップグレード実装を利用できるモジュール式フレームワークです。事前に作成されたバイナリ（エージェント）が付属し、高速ペンテスト用の機能するデフォルトの構成であり、独自のWebServerおよびDNSServerモジュールがあります。新しい設定を簡単に設定でき、新しいバイナリエージェントが設定されると自動設定されます。

プロジェクトはGithubでホストされています。無料でオープンソースです。

使用目的を引用するには：

このフレームワークは、攻撃者がホスト名のリダイレクト（被害者のDNSトラフィックの操作）を行える場合に機能します...

翻訳：潜在的に、あなたまたはあなたのDNSを操作できる誰かと同じ（LAN）ネットワーク上の誰でも...まだデフォルトのユーザー名を使用し、linksysルーターを渡します...？

現在、63個の異なる「モジュール」または潜在的なソフトウェアアップデートがあり、iTunes、vmware、virtualbox、skype、notepad ++、ccleaner、Teamviewerなどの名前が付いています。これらの脆弱性はすべて、それぞれのベンダーによって「現在の」バージョン用のものはありませんが、とにかく誰が更新を行いますか...

このビデオのデモ