近期 Google Project Zero公开了该Windows Defender远程代码执行漏洞细节,该漏洞无需用户交互,只要触发Defender对恶意文件的检测即可触发并利用漏洞,现在一起来看看这个漏洞详情吧。
Windows Defender 作为Windows的默认防线,其漏洞拥有极高的利用价值。因为默认可绕过Windwos系统防御机制,以及Defender本身以SYSTEM(最高权限运行),该漏洞是Defender对历史格式asprotect的虚拟执行造成,攻击者可以通过向用户发送恶意邮件,该邮件自动触发Defender扫描邮件附件,攻击者借此即可接管用户计算机。
Window Defender 在解析历史文件格式asprotect时采用了虚拟执行的方式,但由于解析过程中Defender以SYSTEM(最高权限)允许,并且对执行过程的DLL加载未进行严格的校验,导致远程任意代码执行。攻击者构造特制的二进制程序,通过邮件等方式投递到用户计算机无需用户打开,即可接管用户计算机。同时该漏洞可绕过Defender的防御策略。
对此,360CERT建议广大用户好资产自查以及预防工作,以免遭受黑客攻击。
目前对该漏洞评定为:
1、威胁等级:高危
2、影响面:广泛
3、攻击者价值:极高
4、利用难度:高
针对该修复建议:
根据影响版本中的信息,排查并升级到安全版本
Windows 在 6月补丁日已针对该漏洞发布修复程序,请用户开启 Window 自动更新以获得补丁安装。
360CERT建议通过安装360安全卫士进行一键更新。
应及时进行Microsoft Windows版本更新并且保持Windows自动更新开启。
Windows server / Windows 检测并开启Windows自动更新流程如下:
- 点击开始菜单,在弹出的菜单中选择“控制面板”进行下一步。
- 点击控制面板页面中的“系统和安全”,进入设置。
- 在弹出的新的界面中选择“windows update”中的“启用或禁用自动更新”。
- 然后进入设置窗口,展开下拉菜单项,选择其中的自动安装更新(推荐)。