एग्नीटम आउटपोस्ट सिक्योरिटी सूट 2-लाइन प्रोएक्टिव बाइपास

मैंने पहले यह कहा था और यहां तक ​​कि एक वीडियो प्रदर्शन भी साझा किया था, लेकिन विवरण का खुलासा किए बिना। दुर्भाग्य से, डेवलपर ने एक बोल्ट बनाया और समस्या के बारे में मेरे पत्र का जवाब नहीं दिया (मेरी अपील 2 अक्टूबर, 2012 को नंबर sb-ru-02-121000048-t के तहत दर्ज की गई थी)। इसलिए मैंने सभी तकनीकी विवरण दिखाने का फैसला किया। निम्न वीडियो प्रदर्शन को पहले ज़ीरोनाइट्स 2012 में ज़िरोडे शो के हिस्से के रूप में दिखाया गया था।

प्रागितिहास

इस तरह की कमजोरियां अक्सर अनियमित रूप से पाई जाती हैं। मेरा मामला कोई अपवाद नहीं है। एक बार, सुबह के 12 बजे, एक पूर्णिमा पर, मैंने खुद को आउटपोस्ट सिक्योरिटी सूट सेट किया और अधिकतम मोड पर प्रोएक्टेशन सेट किया। इस मोड में, सिस्टम में डाला गया एक नया फ्लैश ड्राइव भी माउंट नहीं किया जाता है जब तक कि आप एंटी-वायरस पॉप-अप विंडो में कई क्रियाओं की अनुमति नहीं देते हैं। एक बार जब एक नया फ्लैश ड्राइव डालते हैं, तो हमेशा की तरह, एंटीवायरस से एक पॉप-अप विंडो दिखाई दी, लेकिन मैंने स्थापना के लिए सहमति नहीं दी। और सामान्य तरीके से उसने कंप्यूटर (विन + एल कीज़) को अवरुद्ध कर दिया, जिससे वह कई मिनटों तक चला। जब मैं लौटा तो मेरा आश्चर्य क्या था, मुझे पता चला कि फ्लैश ड्राइव अभी भी सिस्टम में लगाया गया था! और यहाँ मज़ा शुरू हुआ ...

समस्या का सार

प्रशिक्षण मोड में, आउटपोस्ट सक्रिय सुरक्षा, कार्यक्रम की संदिग्ध गतिविधि का पता लगाने पर, उपयोगकर्ता से कार्रवाई का अनुरोध करता है। लेकिन अगर इस तरह के एक संवाद संदेश के समापन के बाद लॉक होता है (क्या होता है जब आप विन + एल कुंजी दबाते हैं), एक एंटीवायरस के लिए यह संकल्प के बराबर है।

इस प्रक्रिया के स्वचालन को ऐसे बैट-फाइल द्वारा दर्शाया जा सकता है, जिसमें 2 रेखाएँ होती हैं:

start 1.exe
ping 127.0.0.1 -n 10 -w 10000 > NULL & rundll32.exe user32.dll,LockWorkStation

एक देरी के लिए पिंग की आवश्यकता है ( हालांकि अधिक सुरुचिपूर्ण समाधान है ), जिसके बाद लॉक कमांड निष्पादित किया जाएगा ( rundll32.exe user32.dll,LockWorkStation )।
यही है, हम 1.exe फ़ाइल चलाते हैं, कुछ सेकंड प्रतीक्षा करें (ताकि एंटीवायरस एक विंडो प्रदर्शित करे) और लॉक निष्पादित करें।
इसके अलावा, लॉक के साथ आप देख सकते हैं कि एंटीवायरस आइकन नीले से हरे रंग में कैसे बदलता है। इसका मतलब है कि यह प्रशिक्षण मोड से अनुमति मोड में चला जाता है (जो सब कुछ निषिद्ध नहीं है)। जो सुरक्षा प्रणाली को कमजोर करता है। उदाहरण के लिए, ऐसे प्रोग्राम जिन्हें ऑनलाइन जाने के लिए स्पष्ट रूप से मना नहीं किया गया है, अब बाहर जाएंगे। लॉग इन करने के बाद, आइकन वापस नीले रंग में बदल जाता है। ( UPD : यह पुराने संस्करणों (6.0) में था। हाल के संस्करणों में यह लॉक मोड में चला जाता है, जो सुरक्षा को बिल्कुल भी कमजोर नहीं करता है। इस पर उनकी टिप्पणी के लिए एंडरसन को धन्यवाद।)

प्रदर्शन

प्रदर्शन का सार:

1. हम जांचते हैं कि सिस्टम में "परीक्षण परीक्षण परीक्षण सेवा" सेवा नहीं है (हम इसे रोकने की कोशिश करते हैं, जिसके लिए सिस्टम जवाब देता है कि ऐसी कोई सेवा नहीं है)
2. बैट-फ़ाइल चलाएं (जो सेवा इंस्टॉलर चलाएगा)
3. DebugViewer के माध्यम से , हम देखते हैं कि ड्राइवर ने सिस्टम लॉक के बाद शुरू किया, और पहले नहीं
4. फिर से हम सेवा "परीक्षण परीक्षण सेवा" को रोकने की कोशिश करते हैं। इस बार सफलतापूर्वक।

अग्नीतुम आउटपोस्ट सुरक्षा सूट के निम्नलिखित संस्करणों को भेद्यता के लिए परीक्षण किया गया था:

1. 7.5.3 (3942.608.1810)
2. 7.6 (3984.693.1842)

अद्यतन (12/18/2012) निर्माता ने 17 दिसंबर, 2012 को संस्करण 8.0 (4164.652.1856) में भेद्यता तय की