По данным экспертов по безопасности, обнаруженная инженером по безопасности DefenceCode Боско Станковичем уязвимость в Google Chrome позволяет хакерам загружать вредоносное ПО на компьютер жертвы с целью кражи учетных данных для входа в Windows и запуска атак по протоколу SMB (Server Message Block) .
Станкович заявил в своем блоге, что обнаружил уязвимость в стандартной конфигурации последней версии Google Chrome, работающей на любой версии операционной системы Microsoft Windows, включая Windows 10. Эта уязвимость должна беспокоить не только ИТ-администраторов, поскольку она также представляет «значительную угрозу» для крупных компаний и даже обычных пользователей. Он также утверждал, что простое посещение веб-сайта, содержащего вредоносный файл SCF (Shell Command File) , может позволить жертвам неосознанно передать свои учетные данные для входа в систему хакерам через Chrome и протокол SMB.
Техника атаки, которая может позволить кражу учетных данных, не нова, но представляет собой комбинацию двух различных методов, одна из которых взята из операции Stuxnet (Stuxnet - мощное вредоносное ПО, специально разработанное для уничтожения ядерной программы Ирана), а другая - из продемонстрированной техники. на конференции по безопасности Black Hat двумя исследователями в области безопасности.
Кража учетных данных Windows, сосредоточенных вокруг файлов SCF:
По словам Станковича, атака довольно проста: жертв обманом заставляют щелкнуть вредоносную ссылку, которая запускает автоматическую загрузку SCF-файла Windows Explorer.
«SCF (командный файл оболочки) - это формат файла, который поддерживает очень ограниченный набор команд Windows Explorer, которые помогают определить значок на рабочем столе, например« Мой компьютер »и« Корзина ». Как и файлы LNK (ярлыки), файлы SCF при сохранении на диске будут извлекать файл значка, когда пользователь загружает файл в окно проводника Windows ».
Станкович объясняет, что получить файл SCF на компьютерах пользователей очень просто. Это связано с тем, что в своей конфигурации по умолчанию Chrome автоматически загружает файлы, которые он считает безопасными, без запроса у пользователя места для загрузки. Google считает файлы SCF безопасными, поскольку у них нет причин побуждать пользователя к действию.
Файл SCF находится в бездействии, пока жертва не откроет папку каталога загрузки, после чего она попытается извлечь данные, связанные со значком Windows, расположенным на сервере хакера. Это, в свою очередь, предоставляет злоумышленнику имя пользователя и хешированный пароль жертвы.
«В настоящее время злоумышленнику просто нужно побудить жертву (используя полностью обновленный Google Chrome и Windows) посетить свой веб-сайт, чтобы продолжить и повторно использовать учетные данные для аутентификации жертвы», - написал Станкович в своем блоге, описывая уязвимость.
Как победить кражу учетных данных для входа в Windows:
Исследователь безопасности советует пользователям отключить автоматическую загрузку в Google Chrome. Для этого нужно открыть «Показать дополнительные настройки» в настройках. Там установите флажок «Спрашивать, где сохранить каждый файл перед загрузкой». Это изменение заставит Google запрашивать ваше разрешение перед загрузкой файла, что значительно снизит риск атак на кражу учетных данных с использованием файлов SCF.
Более продвинутые меры защиты включают блокировку исходящих SMB-запросов из локальной сети в WAN через брандмауэры, чтобы локальные компьютеры не могли запрашивать удаленные SMB-серверы.
