Вы должны отключить автоматические загрузки в Chrome прямо сейчас
- Категория: Гугл Хром
Пользователи Google Chrome в Windows рекомендуется отключить автоматические загрузки в веб-браузере для защиты данных аутентификации от недавно обнаруженной новой угрозы.
Браузер Chrome сейчас самый популярный браузер на настольных устройствах. По умолчанию он настроен на автоматическую загрузку безопасных файлов в пользовательскую систему без запроса.
Любой файл, загружаемый пользователями Chrome и прошедший проверку безопасного просмотра Google, автоматически попадает в каталог загрузки по умолчанию. Пользователям Chrome, которые хотят выбрать папку для загрузок, необходимо изменить это поведение в параметрах.
Новая атака, подробно описанная на веб-сайте Defense Code, сочетает автоматическую загрузку Chrome с файлами командного файла оболочки Windows Explorer с расширением .scf.
Формат устаревания - это простой текстовый файл, который включает инструкции, обычно расположение значка и ограниченные команды. Что особенно интересно в этом формате, так это то, что он может загружать ресурсы с удаленного сервера.
Еще более проблематичным является тот факт, что Windows обработает эти файлы, как только вы откроете каталог, в котором они хранятся, и что эти файлы отображаются без расширения в проводнике Windows независимо от настроек. Это означает, что злоумышленники могут легко скрыть файл за замаскированным именем файла, например image.jpg.
Злоумышленники используют в качестве значка расположение SMB-сервера. Затем происходит то, что сервер запрашивает аутентификацию, и система ее предоставляет. Пока отправляются хэши паролей, исследователи отмечают, что взлом этих паролей не должен занимать десятилетия, если только они не являются сложными.
Что касается возможности взлома паролей, то за последние несколько лет ситуация значительно улучшилась благодаря взлому на основе GPU. Тест NetNTLMv2 hashcat для одной карты Nvidia GTX 1080 составляет около 1600 MH / s. Это 1,6 миллиарда хэшей в секунду. Для 8-символьного пароля графические процессоры из 4 таких карт могут пройти через все пространство клавиш, состоящее из верхних / нижних буквенно-цифровых + наиболее часто используемых специальных символов (! @ # $% &) Менее чем за день. В результате утечки сотен миллионов паролей в результате нескольких взломов за последние годы (LinkedIn, Myspace) взлом на основе правил списков слов может дать удивительные результаты против сложных паролей с большей энтропией.
Ситуация еще хуже для пользователей компьютеров с Windows 8 или 10, которые проходят проверку подлинности с помощью учетной записи Microsoft, поскольку учетная запись предоставит злоумышленнику доступ к онлайн-службам, таким как Outlook, OneDrive или Office365, если они используются пользователем. Также существует вероятность того, что пароль будет повторно использован на сайтах, не принадлежащих Microsoft.
В настоящий момент антивирусные программы не отмечают эти файлы.
Вот как идет атака
- Пользователь посещает веб-сайт, который либо отправляет диск путем загрузки в систему пользователя, либо заставляет пользователя щелкнуть специально подготовленный файл SCF, чтобы он был загружен.
- Пользователь открывает каталог загрузки по умолчанию.
- Windows проверяет расположение значка и отправляет данные аутентификации на сервер SMB в хешированном формате.
- Атаки могут использовать списки паролей или атаки методом перебора для взлома пароля.
Как защитить вашу систему от этой атаки
Один из вариантов, который есть у пользователей Chrome, - отключить автоматические загрузки в веб-браузере. Это предотвращает загрузку диска, а также может предотвратить случайную загрузку файлов.
- Загрузите chrome: // settings / в адресную строку браузера.
- Прокрутите вниз и нажмите ссылку «Показать дополнительные настройки».
- Прокрутите вниз до раздела Загрузки.
- Установите флажок «Спрашивать, где сохранить каждый файл перед загрузкой».
Chrome будет предлагать вам указать место для загрузки каждый раз, когда загрузка инициируется в браузере.
Предостережения
Хотя вы добавляете уровень защиты к обработке загрузок Chrome, управляемые файлы SCF могут по-разному попадать в целевые системы.
Один из вариантов, который есть у пользователей и администраторов, - это блокировать порты, используемые трафиком SMB в брандмауэре. Microsoft имеет руководство вверх, что вы можете использовать для этого. Компания предлагает заблокировать связь из и в Интернет на порты SMB 137, 138, 139 и 445.
Однако блокирование этих портов может повлиять на другие службы Windows, такие как служба факсов, диспетчер очереди печати, сетевой вход или общий доступ к файлам и принтерам.
Теперь ваша очередь : Как вы защищаете свои машины от угроз SMB / SCF?