Windows Notepad հավելվածի հեռակառավարման կոդի կատարման խոցելիություն

Հայտնաբերվել է Windows Notepad հավելվածի Remote Code Execution (RCE) կարևոր խոցելիությունը, որը թույլ է տալիս հարձակվողներին կամայական կոդ կատարել ազդակիր համակարգերի վրա՝ պարզապես խաբելով օգտատերերին՝ բացելու հատուկ մշակված ֆայլ: Հասկանալը, թե ինչպես է գործում այս խոցելիությունը, և ինչպես պաշտպանել ձեր բիզնեսի ենթակառուցվածքը, կարևոր է ցանկացած կազմակերպության համար, որն աշխատում է այսօրվա սպառնալիքների լանդշաֆտում:

Ո՞րն է Windows Notepad-ի հեռակառավարման կոդի կատարման խոցելիությունը:

Windows Notepad-ը, որը երկար ժամանակ համարվում էր անվնաս, տեքստային խմբագրիչ, որը միացված է Microsoft Windows-ի բոլոր տարբերակներին, պատմականորեն համարվում էր չափազանց պարզ՝ անվտանգության լուրջ թերություններ պարունակելու համար: Այդ ենթադրությունն ապացուցվել է, որ վտանգավորորեն սխալ է: Windows Notepad հավելվածի Remote Code Execution խոցելիությունը օգտագործում է այն թույլ կողմերը, թե ինչպես է Notepad-ը վերլուծում որոշ ֆայլերի ձևաչափեր և կարգավորում հիշողության բաշխումը տեքստային բովանդակության ցուցադրման ժամանակ:

Իր հիմքում խոցելիության այս դասը սովորաբար ներառում է բուֆերային արտահոսք կամ հիշողության խաթարում, որն առաջանում է, երբ Notepad-ը մշակում է վնասակար կառուցվածքով ֆայլը: Երբ օգտատերը բացում է մշակված փաստաթուղթը, որը հաճախ քողարկվում է որպես անվնաս .txt կամ log ֆայլ, հարձակվողի shellcode-ը գործարկվում է ընթացիկ օգտագործողի աշխատաշրջանի համատեքստում: Քանի որ Notepad-ն աշխատում է մուտք գործած օգտատիրոջ թույլտվություններով, հարձակվողը կարող է պոտենցիալ վերահսկել այդ հաշվի մուտքի իրավունքները, ներառյալ զգայուն ֆայլերը և ցանցային ռեսուրսները կարդալու/գրելու հասանելիությունը:

Microsoft-ը վերջին տարիներին իր Patch Tuesday ցիկլերի միջոցով անդրադարձել է Notepad-ի հետ կապված մի քանի անվտանգության խորհուրդների՝ CVE-ների տակ ցուցակագրված խոցելիություններով, որոնք ազդում են Windows 10, Windows 11 և Windows Server հրատարակությունների վրա: Մեխանիզմը հետևողական է. վերլուծության տրամաբանական ձախողումները ստեղծում են շահագործելի պայմաններ, որոնք շրջանցում են ստանդարտ հիշողության պաշտպանությունը:

Ինչպե՞ս է հարձակման վեկտորը աշխատում իրական աշխարհի սցենարներում:

Հարձակման շղթայի հասկանալն օգնում է կազմակերպություններին ավելի արդյունավետ պաշտպանություն ստեղծել: Տիպիկ շահագործման սցենարը հետևում է կանխատեսելի հաջորդականությանը.

• Առաքում. Հարձակվողը ստեղծում է վնասակար ֆայլ և տարածում այն ֆիշինգ էլփոստի, վնասակար ներբեռնման հղումների, ընդհանուր ցանցային կրիչների կամ ամպային պահեստավորման վտանգված ծառայությունների միջոցով:
• Կատարման գործարկիչ. զոհը կրկնակի սեղմում է ֆայլի վրա, որը բացվում է Notepad-ում լռելյայնորեն՝ շնորհիվ Windows ֆայլերի ասոցիացիայի կարգավորումների՝ .txt, .log և հարակից ընդլայնումների համար:
• Հիշողության շահագործում. Notepad-ի վերլուծող շարժիչը բախվում է սխալ ձևավորված տվյալներին՝ առաջացնելով կույտի կամ կույտի արտահոսք, որը վերագրում է հիշողության կարևոր ցուցիչները հարձակվողի կողմից վերահսկվող արժեքներով:
• Shellcode-ի կատարում. Վերահսկիչ հոսքը վերահղվում է դեպի ներկառուցված օգտակար բեռ, որը կարող է ներբեռնել լրացուցիչ չարամիտ ծրագրեր, հաստատել կայունություն, արտահանել տվյալներ կամ շարժվել կողային ցանցով:
• Արտոնությունների ընդլայնում (ըստ ցանկության). Եթե զուգորդվում է երկրորդական տեղական արտոնությունների ընդլայնման շահագործման հետ, հարձակվողը կարող է ստանդարտ օգտագործողի աշխատաշրջանից անցնել ՀԱՄԱԿԱՐԳԻ մակարդակի մուտքի:

Սա հատկապես վտանգավոր է դարձնում օգտատերերի վստահությունը Notepad-ում: Ի տարբերություն գործարկվող ֆայլերի, պարզ տեքստային փաստաթղթերը հազվադեպ են զննում անվտանգությանը գիտակցող աշխատակիցների կողմից, ինչը շատ արդյունավետ է դարձնում սոցիալական նախագծված ֆայլերի առաքումը:

Հիմնական պատկերացում. Ամենավտանգավոր խոցելիությունները միշտ չէ, որ հայտնաբերվում են բարդ, ինտերնետին առնչվող հավելվածներում. դրանք հաճախ գտնվում են վստահելի, ամենօրյա գործիքներում, որոնք կազմակերպությունները երբեք չեն համարել սպառնալիքի մակերես: Windows Notepad-ը դասագրքի օրինակ է այն մասին, թե ինչպես են «անվտանգ» ծրագրաշարի մասին ժառանգական ենթադրությունները ստեղծում ժամանակակից հարձակման հնարավորություններ:

Որո՞նք են համեմատական ռիսկերը Windows-ի տարբեր միջավայրերում:

Այս խոցելիության աստիճանը տատանվում է՝ կախված Windows միջավայրից, օգտատիրոջ արտոնությունների կազմաձևից և կարկատելային կառավարման դիրքից: Ձեռնարկությունների միջավայրերը, որոնք աշխատում են Windows 11-ով, վերջին կուտակային թարմացումներով և բլոկ ռեժիմում կազմաձևված Microsoft Defender-ով, բախվում են զգալիորեն կրճատված ազդեցության՝ համեմատած այն կազմակերպությունների հետ, որոնք ունեն Windows 10-ի կամ Windows Server-ի հին, չկարկատված օրինակներ:

Windows 11-ում Microsoft-ը վերակառուցեց Notepad-ը ժամանակակից հավելվածների փաթեթավորմամբ՝ այն գործարկելով որպես ավազի տուփով Microsoft Store հավելված՝ AppContainer-ի մեկուսացմամբ որոշակի կոնֆիգուրացիաներում: Ճարտարապետական ​​այս փոփոխությունը զգալի մեղմացում է ապահովում. նույնիսկ եթե RCE-ն ձեռք բերվի, հարձակվողի դիրքը սահմանափակվում է AppContainer-ի սահմանով: Այնուամենայնիվ, այս sandboxing-ը համընդհանուր չի կիրառվում Windows 11-ի բոլոր կոնֆիգուրացիաներում, և Windows 10 միջավայրերը լռելյայն նման պաշտպանություն չեն ստանում:

Կազմակերպությունները, որոնք անջատել են Windows-ի ավտոմատ թարմացումները՝ զարմանալիորեն տարածված կոնֆիգուրացիա հին ծրագրակազմով աշխատող միջավայրերում, մնում են բացահայտված Microsoft-ի patches-ի թողարկումից շատ հետո: Ռիսկը բազմապատկվում է այն միջավայրերում, որտեղ օգտատերերը սովորաբար գործում են տեղական ադմինիստրատորի արտոնություններով, մի կոնֆիգուրացիա, որը խախտում է նվազագույն արտոնությունների սկզբունքը, բայց լայնորեն պահպանվում է փոքր և միջին բիզնեսներում:

Ի՞նչ անհապաղ քայլեր պետք է ձեռնարկեն ձեռնարկությունները այս խոցելիությունը մեղմելու համար:

Արդյունավետ մեղմացումը պահանջում է շերտավոր մոտեցում, որը կանդրադառնա ինչպես անմիջական խոցելիությանը, այնպես էլ անվտանգության դիրքի հիմքում ընկած բացերին, որոնք հնարավոր են դարձնում շահագործումը.

1. Անմիջապես կիրառեք պատչերը. Համոզվեք, որ Windows բոլոր համակարգերում տեղադրված են անվտանգության վերջին կուտակային թարմացումները: Առաջնահերթություն տվեք այն վերջնական կետերին, որոնք օգտագործվում են արտաքին հաղորդակցությունների և ֆայլերի հետ աշխատող աշխատակիցների կողմից:
2. Աուդիտի ֆայլերի ասոցիացիայի կարգավորումները. Վերանայեք և սահմանափակեք, թե որ հավելվածներն են սահմանված որպես կանխադրված մշակողներ .txt և .log ֆայլերի համար ձեռնարկությունում, հատկապես բարձր արժեք ունեցող վերջնակետերում:
3. Կիրառեք նվազագույն արտոնություն. Հեռացրեք տեղական ադմինիստրատորի իրավունքները ստանդարտ օգտատերերի հաշիվներից: Նույնիսկ եթե RCE-ն ձեռք բերվի, օգտվողի սահմանափակ արտոնությունները զգալիորեն նվազեցնում են հարձակվողի ազդեցությունը:
4. Տեղադրեք վերջնակետի առաջադեմ հայտնաբերում. Կազմաձևեք վերջնակետի հայտնաբերման և արձագանքման (EDR) լուծումները՝ վերահսկելու Notepad-ի գործընթացի վարքագիծը, նշելով անսովոր երեխայի գործընթացի ստեղծումը կամ ցանցային կապերը:
5. Օգտատերերի իրազեկման ուսուցում. Աշխատողներին կրթեք, որ նույնիսկ պարզ տեքստային ֆայլերը կարող են զինվել՝ ուժեղացնելով առողջ թերահավատությունը չպահանջված ֆայլերի նկատմամբ՝ անկախ ընդլայնումից:

Ինչպե՞ս կարող են ժամանակակից բիզնես հարթակներն օգնել նվազեցնել ձեր հարձակման ընդհանուր մակերեսը:

Windows Notepad RCE-ի նման խոցելիությունը ընդգծում է ավելի խորը ճշմարտությունը. մասնատված, ժառանգական գործիքները ստեղծում են անվտանգության մասնատված վտանգ: Աշխատակիցների աշխատատեղերում աշխատող աշխատասեղանի յուրաքանչյուր լրացուցիչ հավելված պոտենցիալ վեկտոր է: Կազմակերպությունները, որոնք համախմբում են բիզնես գործառնությունները ժամանակակից, ամպային բնիկ հարթակներում, նվազեցնում են իրենց կախվածությունը տեղական տեղադրված Windows հավելվածներից և այդ գործընթացում զգալիորեն կրճատում են իրենց հարձակման մակերեսը:

Պլատֆորմները, ինչպիսիք են Mewayz-ը, 207 մոդուլից բաղկացած համապարփակ բիզնես օպերացիոն համակարգ, որին վստահում են ավելի քան 138,000 օգտատերեր, հնարավորություն են տալիս թիմերին կառավարել CRM-ը, նախագծերի աշխատանքային հոսքերը, էլեկտրոնային առևտուրը, բրաուզերի ամբողջական հաղորդակցման միջավայրը, բրաուզերի ամբողջական բազան, բովանդակության խողովակաշարերը: Երբ հիմնական բիզնեսի գործառույթներն ապրում են խստացված ամպային ենթակառուցվածքում, այլ ոչ թե տեղական տեղադրված Windows հավելվածներում, խոցելիության վտանգը, ինչպիսին է Notepad RCE-ն, էականորեն նվազում է ամենօրյա գործողությունների համար:

Հաճախակի տրվող հարցեր

Արդյո՞ք Windows Notepad-ը դեռ խոցելի է, եթե ես միացված եմ Windows Defender-ը:

Windows Defender-ն ապահովում է բովանդակալից պաշտպանություն հայտնի շահագործման ստորագրություններից, սակայն այն չի փոխարինում կարկատմանը: Եթե ​​խոցելիությունը զրոյական օր է կամ օգտագործում է պաշտպանիչի ստորագրությունների կողմից դեռևս չհայտնաբերված շղարշված կոդ, ապա միայն վերջնական կետի պաշտպանությունը չի կարող արգելափակել շահագործումը: Միշտ առաջնահերթություն տվեք Microsoft-ի անվտանգության պատչերը կիրառելը որպես հիմնական մեղմացում, իսկ Defender-ը ծառայում է որպես լրացուցիչ պաշտպանական շերտ:

Այս խոցելիությունը ազդում է Windows-ի բոլոր տարբերակների վրա:

Հատուկ լուսարձակումը տատանվում է ըստ Windows-ի տարբերակի և պատչի մակարդակի: Windows 10 և Windows Server միջավայրերը, առանց վերջին կուտակային թարմացումների, ավելի մեծ վտանգի տակ են: Windows 11-ը AppContainer-ով մեկուսացված Notepad-ով ունի որոշ ճարտարապետական ​​մեղմացումներ, թեև դրանք համընդհանուր չեն կիրառվում: Server Core տեղադրումները, որոնք չեն ներառում Notepad-ն իրենց լռելյայն կազմաձևում, նվազեցրել են բացահայտումը: Միշտ ստուգեք Microsoft-ի Անվտանգության թարմացման ուղեցույցը՝ CVE-ի հատուկ տարբերակի կիրառելիության համար:

Ինչպե՞ս կարող եմ իմանալ, արդյոք իմ համակարգն արդեն վտանգված է այս խոցելիության պատճառով:

Փոխզիջման ցուցիչները ներառում են notepad.exe-ի կողմից առաջացած անսպասելի մանուկ գործընթացները, Notepad-ի գործընթացից անսովոր ելքային ցանցային միացումներ, նոր պլանավորված առաջադրանքներ կամ ռեեստրի գործարկման բանալիներ, որոնք ստեղծվել են կասկածելի ֆայլի բացման ժամանակ, և փաստաթղթի բացման իրադարձության հետևանքով օգտվողի հաշվի անկանոն գործունեությունը: Դիտեք Windows-ի իրադարձությունների մատյանները, մասնավորապես՝ Անվտանգության և հավելվածների մատյանները, և եթե առկա է EDR հեռաչափության հետ հղումներ:

Խոցելի կողմերից առաջ կանգնելու համար պահանջվում է ինչպես զգոնություն, այնպես էլ ճիշտ գործառնական ենթակառուցվածք: Mewayz-ը ձեր բիզնեսին տալիս է անվտանգ, ժամանակակից հարթակ՝ համախմբելու գործողությունները և նվազեցնելու կախվածությունը հին աշխատասեղանի գործիքներից՝ սկսած ընդամենը $19/ամսական արժեքից: Ուսումնասիրեք Mewayz-ը app.mewayz.com-ում, տեսեք, թե ինչպես են օգտատերերը աշխատում sa, 0, 0 և 8 ավելի արդյունավետ շենքերում: գործառնություններ այսօր: