Avanguard: The Win32 Anti-Intrusion Library

Стоп, речь не об эксплойтах. Сфера применения, например, античиты. Пользователь может запустить инжектор хоть из под NT_AUTHORITY\System, и ты никак не можешь помешать ему это сделать. Он может сделать с твоим процессом что угодно, может снять PPL, может менять Integrity Level, может менять права доступа к целевому процессу (например, в ProcessHacker'e), может запускать драйвера, может запускать целевой процесс под гипервизором, и в этих условиях тебе надо не столько предотвратить инжект, сколько задетектить, что он имел место.

--- Сообщение объединено, 28 май 2019 ---

Более того, пользователь ДОЛЖЕН иметь возможность делать всё вышеперечисленное. Если во время работы процесса запрещать ему делать что-то, не связанное с защищаемым процессом напрямую - это называется "ломать систему". Защита НЕ должна иметь сайд-эффектов, не должна препятствовать нормальной работе системе, не должна урезать возможностей.

 

А, ну вот как раз я об этом и добавил выше. Нормально тогда, для этих задач неплохая игрушка. Контроль целостности бывает полезен, когда в условиях соглашения снимаются гарантии при вмешательстве в работу ПО.

--- Сообщение объединено, 28 май 2019 ---

Что касается валидных инжектов от другого ПО.
По хорошему, легитимное ПО должно делать инжект используя нормальные DLL, к которым можно получить путь и чекнуть валидность.
У АВ обычно есть цифровые подписи, поэтому и проверить не проблема.
Грязные методы могут поломать работу и поэтому нормальные компании вряд ли пойдут на это, стараясь сделать все наиболее стабильно.
Таким образом нестабильные решения это хороший признак наличия атаки, даже если какой-то мелкий АВ это использует в благих целях, пускай делают по человечески, это уже их проблема.

 

Я больше скажу, неподписанными библиотеками грешит даже интел, который инжектит либу-оптимизатор для своей графики. Пару лет назад это доставило проблем. Блочишь такую либу - рискуешь нарваться на рандомные краши где-то в недрах OpenGL. Так что, полагаться на подпись нельзя.
А кроме драйверов есть ещё стримилки, библиотеки от мессенджеров (например, дискорд) - тысячи их. И пользователи ими пользуются, и просто блочить всё неподписанное или неизвестное уже нельзя, потому что сразу начнутся недовольные пользователи, которым всё равно, кто виноват, они видят только то, что у них всё сломалось.

 

Поэтому такие методы и не практикуют в широком применении. Ведь это не первое решение в природе. На мессенджеры я бы забил, в играх это все сродни читам, дети уже давно практикуют координацию по скайпам и прочим звонилкам, чтобы сливать инфу в онлайне. Оставить только стримилки и ничего более.

 

im.,

Ты чушь пишешь. Инжектится всякий разный софт, не обязательно вредоносный. WOW слой в x64 это тоже инжект и системный. И что не так с сервисной таблицей - всегда ставились фильтры в ней, иначе реализовать фильтрацию нельзя. Блокировать доступ к обьектам - это не фильтрация, это глобальная блокировка. Это перестало юзаться из за проблем с KPP.

Судя по списку трешевых твоих тем https://wasm.in/search/12970086/ спец ты просто ох-ный и мнение твоё очень для нас важно.

--- Сообщение объединено, 28 май 2019 ---

HoShiMin,

> неподписанными библиотеками грешит

Смысл цифр подписи - заплатить. Можно любой вредонос закриптовать и будет тебе подпись. Эти школяры наивно верят в эти подписи и белые списки.

 

Согласен, но вижу и хорошие стороны: сертификаты - неплохой способ поднять порог вхождения, например, в км и подтвердить серьёзность своих намерений. А для конечных пользователей - ещё одна гарантия, что вендор хотя бы протестировал свой драйвер и прошёл какие-никакие тесты (а если вендор ответственный, он пройдёт ещё и WHQL).
А для юзермода - просто гарантия, что то, что ты запускаешь, действительно тот софт, который ты ожидал, а не малварный фейк. Как зелёный замочек в браузерах. Красиво и добавляет доверия.

Другое дело, что разработчикам-одиночкам получить EV очень непросто, и ладно бы только из-за стоимости - бюрократия при оформлении даже на ИП отбивает всё желание этим заниматься.

 

HoShiMin,

У меня работает x64 w8. Несколько лет. Весь софт конечно нелегал, всё ломаное переломанное. О каких сертах вообще идёт речь я хз. Полагаю данный механизм был выпилен нафиг при сборке ос.

 

А у меня - наоборот, почти весь софт лицензионный: всё необходимое или в Community-редакциях или вообще бесплатное. Из крякнутого только VMware (активировал ключиком из инета), сама винда (KMSAuto) и IDA. Но какому-нибудь фотошопу с ноунейм-варезника я бы не доверял.

 

HoShiMin,

Я имею ввиду что серты не работают. Кому нужны какие то проверки, если весь софт ломаный/нелегал, как и ось.

 

Это из разряда "пользователь - сам себе злобный буратино") Хочешь - пользуйся, не хочешь - на свой страх и риск. Хотя, в целом, согласен, что "страх и риск" сбываются редко и надо иметь достаточную удачу, чтобы умудриться подцепить что-то зловредное, и потому какого-то решающего значения серты не играют.

 

HoShiMin,

> А у меня - наоборот, почти весь софт лицензионный

Это значит что ты его купил, на штатный набор софта нужны тысячи $. Либо ты его угнал из своей конторы.

 

Да почему? Много ли мне надо? VS и IntelliJ IDEA есть в комьюнити-редакциях (бесплатные для некоммерческой разработки), винрар не покупаю и не крякаю (то окошко не напрягает), x64dbg бесплатный, Hiew купил (единственный купленный софт), остаётся крякнутая ида. А больше ничего и не нужно!

А вместо ворда-экселя юзаю Google Docs - тоже бесплатные, хватает с головой.

 

А саму ось, короче сколько на всё бабоса то ушло ?

 

А ось - крякнутая (KMSAuto), хотя подумываю купить на амазоне дешёвый лицензионный ключик, всего рублей 300 стоит, и раз и навсегда закрыть вопрос с лицензионной виндой.
Если покупать совсем всё, остаются - VMware Workstation и IDA. Первую можно заменить бесплатным VMware Player'ом (ладно, ради снапшотов можно потерпеть и VirtualBox или замахнуться на Hyper-V), а вторую пока заменить нечем (гидру и радар не предлагать). Но лицензия на иду стоит каких-то фантастических денег - нет, спасибо, обойдусь крякнутой ушлыми китайцами.
Так что, кроме вари, винды и иды, всё остальное бесплатное и при том вполне лицензионное (в плане легальности и "официальности").

 

HoShiMin,

> Так что, кроме вари, винды и иды, всё остальное бесплатное.

Как же - если ось ломаная, то и софт такой же. Как и у всех. И в таком виде никакой речи не может идти про какие то сертификаты, в этом и смысл. Эта фигня давно из ядра ломаного удалена наверно, что бы не напрягать пользователей. Обычный юзер про эту фигню ничего не знает. Всё ставится без каких то подписей, проблемы надуманны. Ничего не мешает пропатчить ядро под свои интересы.

 

Indy_
А, вот ты про что...
Нет, в винде нет и не было никакого механизма какой-то "принудительной" проверки сертификатов для софта (EV'шки для драйверов не в счёт).
Суть сертификатов лишь в том, что пользователь, когда запускает приложение, видит окошко UAC'а с инфой об издателе. Если издателя проверили (т.е., тот бинарник, что ты скачал, действительно выпустил издатель, и никаких изменений в него третьими лицами не вносилось) - видишь красивый синий щит. Если апп не подписан или после подписи кто-то модифицировал бинарник - видишь красный щит и предупреждение. Никто не запретит нажать "Ок" и запустить приложение, если ты уверен, что оно чистое.

Т.е., система с сертификатами - просто информирование пользователя об издателе бинарника, и ничего больше. В целом, как и https: если видишь зелёный замочек на платёжном сайте, и в инфе о сертификате действительно название компании - скорей всего, ты попал по адресу. А если вдруг сайт такой же, а замочек красный - есть вероятность, что сайт не тот, за кого себя выдаёт. Но решение, пользоваться сайтом\приложением, или нет, принимает уже сам пользователь.

И, в конце концов, у сертификатов остаётся и эстетическая сторона: приятно запускать софт и видеть, что компания поставила на него свою "печать", подтверждая, что "да, это наш продукт и мы несём за него ответственность".

--- Сообщение объединено, 28 май 2019 ---

Кстати, к вопросу о сертификатах.
Буквально только что: у знакомых на проекте отозвали сертификат. Видимо, кто-то из них умудрился подписать им что-то зловредное. Винда теперь отказывается запускать софт, пока юзер руками не разлочит издателя.
Тоже хороший вариант: если издателя заподозрили в распространении зловредов - серт в бан, а пользователи сразу же будут проинформированы, что софт лучше не запускать. Плохо разве?

 

HoShiMin,

Нет смысла спорить, у меня своё мнение, впрочем вы это наверно знаете.)

Давай вернёмся к самой теме. Собери рабочий семпл под 86 я отладчиком посмотрю и подумаю.

 

https://www.dropbox.com/s/x8siu52r6i8vj88/AvnBuild.zip?dl=0
В билде никаких блокировок не предпринимается, все инжекты разрешены, но либа их увидит и отметит в логе (создаётся в папке с основной программой).
Для запуска просто подцепить в таблицу импорта эксешника. Через LoadLibrary работать не будет (ещё не успел сделать API для запуска).

 

весь варез имеет на борту разные сюрпризы по уводу паролей/кредиток + можно стать частью ботсети. Однако, си траблы легко излечимы. а вот хухль-докс для важного документооборота могет стать очень гнусным подарком.

 

Давай подробнее, здесь не HEAP, расскажи как инжектится WOW слой? Не очень понимаю, что ты пытаешься представить под видом инжекта, судя по всему для тебя и мэппинг системных DLL из shared memory в каждый создаваемый процесс это так же инжект. Раскрывай тему.

Прямо таки нельзя? А как же callback'и которые ОС предоставляются для легитимных целей, как же минифильтры? Обязательно нужно вмешиваться в недокументированные таблицы доводя систему до снижения надежности? Блокировать, во-первых не доступ, а модификацию системных объектов ядра, это правильное решение. Ядро системы создавалось не для того, чтобы все подряд мерились на этом уровне пиписьками кто сильнее всех умеет отфильтровать I/O операционной системы.

Ты опять ошибаешься. Смысл цифровой подписи в верификации файла асимметричными криптографическими алгоритмами дабы установить подлинность его происхождения от вендора. То что за это нужно платить совсем не обязательно, так как давно известны примеры с проектом Let's encrypt. Криптование вредоносов это временное решение существующее благодаря мягкой политике компании в данный момент. Приведи мне пример вредоноса с подписью из цифрового магазина MS - на этом ломается вся выстроенная тобой аргументация