🔓 Вчера по интернету начала циркулировать новость о запуске вымогателя на #Windows10 S
http://www.zdnet.com/article/microsoft-no-known-ransomware-windows-we-tried-to-hack-it/ В перепостах ключевых подробностей не было, а в них вся соль ❗️
В 10 S приложения только из магазина, а консоли отключены. Это, видимо, и послужило основанием для самоуверенного утверждения Microsoft, что в этом издании нельзя запустить известных на сегодня вымогателей. Ресурс
ZD.net решил проверить это с помощью специалиста по безопасности. Он утверждение опроверг, конечно, но я хочу прокомментировать его действия.
💡 В качестве вектора атаки хакер использовал Microsoft Word (Office можно скачать из магазина). То есть речь уже не о системе "из коробки", но едем дальше 🚲
1. Хакер создал DOCX с вредоносным макросом и поместил файл на сетевой ресурс (!). Сделал он это для обхода защищенного режима Word - локальная сеть является доверенной зоной, и режим не активируется. С учетом следующих шагов непонятно, зачем он так заморачивался 🙈
2. MS Word был запущен с правами администратора через диспетчер задач (!). Кто в здравом уме будет это делать - неизвестно, но иначе вредоносный скрипт не получил бы полных прав.
3. При открытии документа Word автоматически отключает макросы, но хакер включил его вручную. Это типичный трюк фишеров, и люди ведутся на него, но... И да, точно так же можно было отключить защищенный режим ;)
Дальнейшее получение прав SYSTEM было делом техники, а в качестве подтверждения сего факта хакер прислал в текстовом виде пароль сети Wi-Fi, к которой был подключен тестовый ПК 🙄 Это можно посмотреть с обычными правами в свойствах подключения (если не выпилили еще).
📍Мораль. Если пользователь очень захочет, у него получится запустить малварь в Windows, когда к ней есть полный доступ с правами администратора. А именно такой расклад из коробки...
P.S. Никакого вымогателя хакер так и не запустил, ограничившись утверждением, что с этим не будет проблем.
