Dr web блокирует почту
Данная статья написана в рамках ответственного разглашения информации о уязвимости. Хочу выразить благодарность сотрудникам Dr.Web за оперативное реагирование и исправление обхода брандмауэра (firewall).
В этой статье я продемонстрирую обнаруженную мной возможность обхода брандмауэра (firewall) в продукте Dr.Web Security Space 12 версии.
При исследовании различных техник и методик обхода антивирусных программ я заметил, что Dr.Web Security Space 12 версии блокирует любой доступ в Интернет у самописных приложений, хотя другие антивирусные программы так не реагируют. Мне захотелось проверить, возможно ли обойти данный механизм безопасности?
Разведка
Во время анализа работы антивирусной программы Dr.Web, я обнаружил, что некоторые исполняемые файлы (.exe), в папке C:\Program Files\DrWeb, потенциально могут быть подвержены Dll hijacking.
Dll Hijacking — это атака, основанная на способе поиска и загрузки динамически подключаемых библиотек приложениями Windows. Большинство приложений Windows при загрузке dll не используют полный путь, а указывают только имя файла. Из-за этого перед непосредственно загрузкой происходит поиск соответствующей библиотеки. С настройками по умолчанию поиск начинается с папки, где расположен исполняемый файл, и в случае отсутствия файла поиск продолжается в системных директориях. Такое поведение позволяет злоумышленнику разместить поддельную dll и почти гарантировать, что библиотека с нагрузкой загрузится в адресное пространство приложения и код злоумышленника будет исполнен.
Например, возьмём один из исполняемых файлов – frwl_svc.exe версии 12.5.2.4160. С помощью Process Monitor от Sysinternals проследим поиск dll.
Однако, у обычного пользователя нет разрешений для того чтобы подложить свой DLL файл в папку C:\Program Files\DrWeb. Но рассмотрим вариант, в котором frwl_svc.exe будет скопирован в папку под контролем пользователя, к примеру, в папку Temp, а рядом подложим свою библиотеку version.dll. Такое действие не даст мне выполнение программы с какими-то новыми привилегиями, но так мой код из библиотеки будет исполнен в контексте доверенного приложения.
Подготовительные мероприятия
Я начну свой эксперимент с настройки двух виртуальных машин с Windows 10. Первая виртуальная машина служит для демонстрации пользователя с установленным антивирусом Dr.Web. Вторая виртуальная машина будет «ответной стороной», на ней установлен netcat для сетевого взаимодействия с первой виртуалкой. Начальные настройки при установке:
На первую виртуальную машину с IP 192.168.9.2 установлю Dr.Web последней версии, в процессе установки Dr.Web’а выберу следующие пункты:
На вторую виртуальную машину с ip 192.168.9.3 установлю netcat.
Для демонстрации я разработал два исполняемых файла:
Второй файл — это прокси-библиотека version.dll, которая размещается рядом с frwl_svc.exe на первой виртуальной машине. Функциональность та же, что и test_application.exe, только код собран как dll.
Видео эксплуатации
После подготовительных мероприятий, я, наконец, подошёл к эксплуатации. На этом видео представлена демонстрация возможности обхода брандмауэра (firewall) в продукте Dr.Web Security Space 12 версии. (Dr.Web, version.dll и test_application.exe находится на первой виртуальной машине, которая расположена с левой стороны видео. А netcat находится на второй виртуальной машине, которая расположена с правой стороны видео.)
Вот что происходит на видео:
На второй виртуальной машине запускаем netcat он же nc64.exe и прослушиваем порт 4444.
Затем на первой виртуальной машине в папке C:\Users\root\AppData\Local\Temp распакуем aplications.7z, там находятся version.dll и test_application.exe.
После этого, с помощью whoami показываем, что все действия от обычного пользователя.
Потом копируем C:\Program Files\DrWeb\frwl_svc.exe в папку C:\Users\root\AppData\Local\Temp\aplications.
Дальше демонстрируем, что брандмауэр (firewall) включён, исключения отсутствуют и время последнего обновления антивируса.
Следующим шагом запускаем тестовое приложение test_application.exe и проверяем работоспособность брандмауэр (firewall). Dr.Web заблокировал тестовое приложение, а значит можно сделать вывод, что брандмауэр (firewall) работает корректно.
Запускаем frwl_svc.exe и видим подключение в nc64.exe на второй машине.
Передаём команду на создание папки test на первой машине с помощью nc64.exe, который находится на второй машине.
Вывод
Убедившись, что способ работает, можно сделать предположение, что, антивирус доверяет «своим» приложениям, и сетевые запросы, сделанные от имени таких исполняемых файлов, в фильтрацию не попадают. Копирование доверенного файла в подконтрольную пользователю папку с готовой библиотекой — не единственный способ исполнить код в контексте приложения, но один из самых легковоспроизводимых. На этом этапе я собрал все артефакты исследования и передал их специалистам Dr.Web. Вскоре я получил ответ, что уязвимость исправлена в новой версии.
Проверка исправлений
Вижу, что frwl_svc.exe версии 12.5.3.12180 больше не загружает стандартные dll. Это исправляет сам подход с dll hijacking, но появилась гипотеза, что логика работы с доверенными приложениями осталась. Для проверки я воспользовался старой версией frwl_svc.exe.
Подготовительные мероприятия
Начну проверку своей гипотезы с того, что настрою две виртуальные машины с windows 10 по аналогии с тем, как всё было в демонстрации.
На первую виртуальную машину с ip 192.168.9.2 я установлю Dr.Web последней версии. Процесс установки Dr.Web не отличатся от того, который был описан в предыдущем отчёте. А также в папку Temp я скопирую frwl_svc.exe версии 12.5.2.4160 и version.dll из предыдущего отчета.
На вторую виртуальную машину c ip 192.168.9.3 я установлю netcat.
Видео эксплуатации
После настройки двух виртуальных машин пришло время эксплуатации. На этом видео показана возможность обхода патча, которым Dr.Web исправил ошибку из предыдущего отчёта. Расположение виртуальных машин не отличается от представленных в предыдущем видео. Напомню, первая машина находится с левой стороны на видео, а вторая машина – с правой стороны. Действия в видео:
На второй виртуальной машине запускаем netcat(nc64.exe) и прослушиваем порт 4444.
Затем на первой виртуальной машине с помощью whoami показываем, что все действия от обычного пользователя.
Потом показываем версию frwl_svc.exe (12.5.2.4160) в папке C:\Users\drweb_test\AppData\Local\Temp.
Дальше демонстрируем версию frwl_svc.exe (12.5.3.12180) в папке C:\Program Files\DrWeb.
Следующим шагом показываем, что брандмауэр (firewall) включён, исключения отсутствуют и время последнего обновления.
После этого запускаем C:\Users\drweb_test\AppData\Local\Temp \frwl_svc.exe и видим подключение в nc64.exe во второй машине.
Последним шагом передаём команду на создание папки test на первой машине с помощью nc64.exe, который находится на второй машине.
Время от времени я запускаю утилиту Dr.Web CureIt, чтобы проверить свой компьютер на вирусы. Но уже несколько недель мне это не удается - на странице утилиты заполняю форму, но ссылка для скачивания на прочту не приходит.
Использовал разные адреса - и корпоративные, и личную бесплатную почту. Бесполезно.
Не пойму: Dr.Web меня персонально забанил или этот сервис вообще перестал работать?
dr.web cureit
Здрасте всем! Ситуация такая:загрузил я "dr.web cureit" дабы проверить свой ПК на наличие.
Dr.Web CureIt
Всем привет) а можно для Dr.Web CureIt качать базы отдельно? у меня нет такой возможности качать.
Dr.Web CureIt - обход проверки
Добрый вечер! В общем, нашел баг CureIt!, который может быть использован, а скорее всего уже.
Антивирусы Dr. web Live CD, Cureit и подобие им.
подскажите пожалуйста! наименование антивирусов, которыми можно пользоваться бесплатно например.
Вы давно проверяли?
Я использовал 6 различных адресов и повторяю свои попытки уже дней десять. Отправлял даже с других IP. И почтовые программы разные, в том числе без защиты от спама. Ничего не приходит!
Можете прислать в личку разовую ссылку на скачивание?
(Уже просто интересно).
На вашем месте я бы сбросил полностью настройки браузера и файл хост . А другие известные антивирусные продукты скачиваются с официальных сайтов без проблем ? Спам в письмах проверяли ? А другие известные антивирусные продукты скачиваются с официальных сайтов без проблем ? Спам в письмах проверяли ? На вашем месте я бы сбросил полностью настройки браузера и файл хост
Кстати, по Вашей ссылке скачивание все равно не происходит: он её словно не видит и просто открывает страницу.
Кстати, по Вашей ссылке скачивание все равно не происходит: он её словно не видит и просто открывает страницу. Я вообще с вас фигею - скачалась утилита за 30 сек . Может вы на Украине живёте ? И да если уж так надо могу перекинуть через гугл-диск ( только надо немного разобраться как ) - если доверяете , если нет ищите другие утилиты или способы .Мне самому уже интересно, почему так происходит.
Я вам послал запрос на доступ к Вашему файлу на ГуглДиске.
Дело немного прояснилось: блокировка утилиты происходит на уровне ОС. Почему - остается непонятным, но Dr.Web Curelt система "на дух не переносит". Блокирует его письма и в почтовом клиенте, и в браузере на любые адреса.
Компьютер новый, ОС абсолютно чистая (лицензия), антивирусы не устанавливались.
Второй мой компьютер с другой ОС с этого же интернет-провода получает ссылки и скачивает Dr.Web Curelt обычным образом. Проверка обоих компов этой утилитой никаких вирусов не обнаружила.
Проверка обоих компов этой утилитой никаких вирусов не обнаружила. а другими ? adwcleaner - там вроде есть поле настроек действия по базовому восстановлению : может поможет . А с другими свободно: Start Emergency Kit Scanner и Malwarebytes Anti-Rootkit скачиваются и запускаются штатно, и тоже никаких вирусов не найдено. Скачали с ссылки ? Тогда я удалю . Надеюсь в нём вирусов не былоalm Большинство антивирусных программ, доступных для системы Windows 10, поставляются с поддержкой почты в качестве интегрированной функции. Таким образом, в скором времени эти программы безопасности могут сканировать входящие/исходящие электронные письма в существующих учетных записях независимо от того, какой почтовый клиент используется.
Хотя эта функция безопасности чрезвычайно важна, иногда она может вызвать дополнительные проблемы. Например, без каких-либо видимых причин антивирус может заблокировать ваши электронные письма. Таким образом, вместо поиска возможных угроз программа безопасности может по умолчанию заблокировать все входящие и исходящие электронные письма. В этой ситуации вам нужно найти способ повторно включить функцию почтового клиента и установить новое правило в антивирусном брандмауэре или добавить исключение для приложения электронной почты, которое вы используете в своей системе Windows 10.
Эти операции могут выполняться по-разному в зависимости от используемого антивирусного программного обеспечения. Итак, чтобы показать вам, как решить эту проблему безопасности, мы подробно рассмотрим шаги, которые необходимо выполнить для наиболее популярных антивирусных программ, доступных для ОС Windows 10.
1. Bitdefender
- Откройте пользовательский интерфейс Bitdefender.
- На левой панели нажмите значок Защита .
- Затем перейдите по ссылке Просмотреть функции .
- В разделе Брандмауэр нажмите значок Настройки .
- Перейдите на вкладку Правила и нажмите Добавить , чтобы создать новое исключение брандмауэра.
- Загрузите исполняемый файл для почтового клиента и разрешите доступ к нему.
- Заполните другое поле, используя подсказки на экране.
- Сохраните изменения и перезапустите систему Windows 10.
Помните: в Bitdefender вы также можете добавить веб-сайт или любой другой аналогичный источник (например, если вы используете почтовый клиент онлайн) в белый список, выполнив следующие действия:
- От Bitdefender перейдите в раздел Защита .
- Нажмите Веб-защита и в окне настроек нажмите ссылку Белый список .
- Просто введите адрес заблокированного сайта или веб-страницу и нажмите «Добавить».
- Сохраните изменения в конце и перезагрузите компьютер.
2. Нортон
Эти настройки отключают сканирование электронной почты, когда Norton блокирует электронную почту без видимых причин. Однако вы можете попытаться добавить новое правило в брандмауэр, как объяснено:
- Откройте Нортон.
- Оттуда нажмите Дополнительно .
- Выберите Брандмауэр на левой панели.
- Нажмите на значок Настройки в строке Блокировка приложений .
- Выберите Добавить приложение и добавьте исполняемый файл для вашего почтового клиента.
- Сохраните все и наслаждайтесь.
3. Касперский
- Откройте Kaspersky и в правом верхнем углу нажмите Настройки .
- В разделе Защита вы можете выбрать параметр Почтовый антивирус .
- Теперь в главном окне нажмите кнопку Настройки (находится под уровнем безопасности).
- Перейдите на вкладку Дополнительно и выберите, как настроить Kaspersky для проверки вашей электронной почты и почтовых клиентов.
- Сохраните эти изменения и наслаждайтесь.
4. AVG
- Откройте AVG.
- Из AVG перейдите в раздел Internet Security .
- В правом верхнем углу нажмите кнопку Меню .
- Перейдите в Настройки и выберите Компоненты .
- Затем перейдите к функции Брандмауэр и перейдите к настройке.
- В разделе Профили сети выберите изменить сеть с публичной на частную или наоборот, в зависимости от того, что в данный момент установлено на вашем антивирусе.
- В конце вы сможете снова получить доступ к своей электронной почте.
5. Авира
Для Avira вы должны настроить параметры электронной почты в своем почтовом клиенте.Эти настройки могут зависеть от каждой почтовой программы, но основная идея заключается в том, чтобы: деактивировать опцию, которая использует зашифрованные соединения SSL/TSL/STARTTLS в соответствии с протоколом входящего и исходящего сервера; Кроме того, следующие порты не должны использоваться: 25 (SMTP), 143 (IMAP) и 110 (POP3). Это параметры, которые должны применяться в вашем почтовом клиенте, потому что Avira не может сканировать электронные письма через зашифрованное соединение.
Другим решением будет отключение функции защиты почты Avira:
ТАКЖЕ ПРОЧИТАЙТЕ: 6 лучших антивирусов с антиспамом для избавления от всех нежелательных писем
6. Аваст
Avast работает на экранах, и функция сканирования почты встроена в этот экран. Итак, если антивирус блокирует ваши электронные письма, вам нужно настроить почтовый щит Avast:
- Запустите Avast на своем компьютере.
- Нажмите Настройки и перейдите в раздел Компоненты .
- Найдите запись Mail Shield и получите к ней доступ (нажмите «Настроить»).
- Оттуда вы можете впоследствии выбрать, как настроить этот механизм сканирования.
- Вы можете отключить этот щит или попытаться отключить его части, такие как сканирование SSL или чувствительность.
- Надеемся, что после применения новых настроек вы сможете снова получить доступ к своей электронной почте.
В Avast вы можете добавить новое правило брандмауэра для вашего почтового клиента следующим образом:
- Запустите Avast и перейдите в Защита .
- Нажмите на запись Брандмауэр .
- В нижней части экрана нажмите на Приложение .
- Затем нажмите Новое правило для приложения .
- Просто добавьте приложение, которое вы хотите включить в список исключений брандмауэра.
- Это должно быть все.
Заключительные мысли
Dr.Web является одним из самых популярных антивирусов, но у него есть серьёзный недостаток. Вместе с вредоносными сайтами он блокирует некоторые нормальные сайты, заявляя, что они могут быть потенциально опасны.
В этой статье я объясню, почему приложение SpiDer Gate блокирует хорошие сайты, не даёт перейти по некоторым ссылкам, и расскажу, как решить эту проблему.
Содержание:
Почему Доктор Веб блокирует сайты?
Антивирус Dr.Web Security Space имеет в комплекте программу SpiDer Gate, у которой очень полезные функции защиты при работе в Интернете. Эта программа блокирует все зараженные сайты, и контролирует каждую ссылку, по которой вы переходите.
Информация из справки программы SpiDer Gate
URL заблокирован SpiDer Gate
Подобные проблемы не раз всплывали, вот один из примеров.
Почему Spider Gate не дружит с некоторыми письмами?
Кроме того, Dr.Web (а точнее, SpiDer Gate) может блокировать возможность подписаться на новостную рассылку или не разрешать переходить по ссылкам из письма на нормальный сайт.
Причина в том, что Доктор Веб считает нежелательными массовые отправления писем, особенно, от некоторых сервисов почтовых рассылок!
Например, сервисом Smartresponder пользуются более 400 000 авторов рассылок и около 30 миллионов читателей. Странно считать такой популярный сервис «нерекомендуемым к посещению».
Получается, что сама возможность распространить некачественный продукт стала причиной блокировки сервиса, полезного для миллионов людей.
(Здесь мог быть анекдот по теме, но я оставил вам возможность написать подходящий в комментариях =)
Чем это плохо?
Доктор Веб за вас решает, переходить ли по ссылкам в письме, получение которого вы сами заказали, подписавшись на рассылку. Особенно неприятно, если по ссылке находится полезная информация.
Я считаю такую чрезмерную заботу большим ограничением, которое отталкивает часть пользователей от покупки этого антивируса.
Хорошо это или плохо может решить каждый сам.
Как эта ситуация касается читателей сайта IT-уроки?
Всё перечисленное касается и подписчиков сайта IT-уроки, та как через сервис почтовых рассылок Smartresponder я информирую читателей о выходе новых статей и новостей, а также раздаю подарки.
Если у вас установлен Dr.Web Security Space, то вы не сможете перейти по всем ссылкам в письмах, так как для анализа переходов используется «нерекомендуемый» сервис «srclikpro» (который определяет, сколько человек открыли письмо и перешли по ссылкам).
Как решить проблему?
Есть три варианта решения проблемы:
1. Отключить модуль антивируса SpiDer Gate
Я бы не рекомендовал этот вариант, так как с блокировкой действительно опасных сайтов Доктор Веб справляется отлично.
Модуль SpiDer антивируса Dr Web Gate отключен
3. Внести проверенные сайты в исключения Dr.Web SpiDer Gate (добавить в белый список)
Белый список в SpiDer Gate
Конечно же, если вы не знаете, опасный ли сайт, его перед добавлением в белый список необходимо проверить.
Подробно о проверке сайтов и внесении их в исключения я написал в следующей статье.
Всё так сложно?! Неужели DrWeb так плох?
Конечно, внести ссылку в исключения недолго и не сложно, но ссылок этих может быть достаточно много, да и лишние это действия, которые не должны заботить обычного пользователя, который желает получить доступ к полезной и безопасной информации.
Кто-то может подумать, что я плохо отношусь к антивирусу Dr.Web, но, поверьте, это совершенно не так. Цель статьи не принизить достоинства программы, а предупредить читателя о недостатке.
Заключение
Итак, сегодня мы узнали об одном важном ограничении антивируса Доктор Веб, о причинах появления этого ограничения и разобрались, что эту проблему можно решить тремя способами.
Надеюсь, эта статья расширила ваш кругозор в отношении безопасности работы в интернете.
Продолжение можно прочитать здесь!
Копирование запрещено, но можно делиться ссылками:
Поделитесь с друзьями:
Понравились IT-уроки?
Все средства идут на покрытие текущих расходов (оплата за сервер, домен, техническое обслуживание)и подготовку новых обучающих материалов (покупка необходимого ПО и оборудования).
Больше интересных уроков:
Спасибо. Очень полезный урок.
У меня стоит АВИРА, решил почистить систему утилитой DrWeb , но немогу загрузить обновления на домашний комп, может DrWeb принимает мой комп, как организации.
Если вы про Dr.Web CureIt, то она не обновляется. Нужно каждый раз свежую версию скачивать по этой ссылке.
4. Ссылка на книгу всем читателям сайта открывается после публикации первого комментария. Если вы не нашли ссылку, достаточно сообщить мне, я отправлю копию на электронную почту (вам только что отправил, проверьте входящие письма).
У меня dr.Web стоит на планшете, пока нормально. А на компе и на ноуте поставил Microsoft Essentiale Security. Вполне приличный антивирусник по-моему, главное тихий и вирусы после него не замечены другими прогами.
Андрей, у меня тоже на ноутбуке Microsoft Security Essentials, действительно, самый незаметный антивирус 🙂
А на основном компьютере я периодически меняю пробные версии разных производителей, чтобы быть в курсе изменений и на практике ощутить разницу между популярными антивирусами.
Всё верно. Нельзя зацикливаться на одном. Необходимо постоянно тестить, что я периодически делаю, правда не слишком часто.
Пардон.
Не тратить, а тестить.
Андрей, исправил ваш комментарий 🙂
Добрый вечер.
Я пользуюсь нот 32.
антивирусник хорошь для нетбуков, не сильно грузит бук и защита вроде есть. По вашей ссылке взял касперского сканера, тот просканировал и ничего не нашел. Доктором веб раньше пользовался , но он сильно тормозил нетбук. Позтому перешел на нот32.
Здравствуйте, Владимир. Честно говоря, антивирусы компании ESET (NOD32 Smart Security и другие) мне нравятся больше других, но и другие производители тоже достойны внимания. Подробнее о сравнениях и выборе поговорим в будущих уроках.
Добрый вечер.
Абсолютно с вами согласен по поводу других производителей. Иногда пользуюсь сканерами нескольких производителей, для лечения своего бука.
Правда столкнулся один раз с одним вирусом который не отыскался ни одним антивирусом. Вообщем вирус нашли в ручном режиме (мой друг занимался этим ).
Сергей, уроки и др. читаю с удовольствием. Хотелось бы узнать Ваше мнение об антивируснике Symantec Endpoint Protection.
Борис, мне понравился антивирус Symantec, да и результаты тестов обнадеживают.
P.S. Благодарю за отзыв 🙂
Спасибо, Сергей! У меня как раз Доктор ВЕБ и именно эти проблемы.
Наталия, пожалуйста! Надеюсь, нашли ссылку на статью про внесение сайтов в белый список.
Здравствуйте! У меня раньше стоял Доктор Веб, были такие моменты, которые не очень нравились. Сейчас поняла причину. Спасибо за информацию. В данное время пользуюсь Касперским, хотя Доктора считаю хорошим антивирусом:)
Лара, действительно, оба антивируса хорошие, но, по моему личному мнению, Касперский сейчас обгоняет Доктора Веба довольно заметно.
Здравствуйте, Руслан! Спасибо, что поделились своим опытом.
Необходим детальный анализ с учетом многих факторов, при этом все антивирусы необходимо ставить в равные изначальные условия. Возможно в вашей ситуации Касперский не справился, но также возможно, что именно в описанной ситуации (с учетом даты заражения и актуальности баз) Доктор Веб тоже пропустил бы тот самый вирус.
По поводу скорости работы, я постоянно тестирую разные антивирусы (и разные их версии от всех известных производителей), принципиальной разницы в скорости фоновой работы между Касперским, Нодом и Доктор Вебом не заметил (при этом настройки приблизительно одинаковые). Опять же, для сравнения нужны одинаковые условия.
Так как полноценного подробного сравнения антивирусов (с учетом упомянутых равных условий) я не проводил, то настаивать на своей точке зрения не буду. Каждый вправе выбрать то, что ему кажется удобнее и качественнее. Главное, не забывать относиться критично даже к своему выбору 🙂
Среди ближайших тем я запланировал серию уроков по безопасности и антивирусам, в них я расскажу подробнее о разнице в различных антивирусных программах, и о причинах нахождения разного количества вирусов.
Добрый день, Сергей!
Здравствуйте, Виктор! Мне очень нравится антивирус NOD, если бы не эксперименты, его бы и использовал (всех тайн раскрывать не буду, расскажу в ближайших уроках) 🙂
У меня стоит AVAST Free Antivirus. На данный момент, проблем не наблюдается.
Аваст хорош, но нужно помнить, что у бесплатной версии нет брандмауэра (сетевого экрана).
Для меня это очень важная информация с точки зрения возможности снятия ограничений SpiDer Gate. Спасибо, теперь я знаю что мне делать в случае возникновения аналогичной ситуации.
Читайте также: