假Windows更新

19

听说黑客可以通过告诉您它们是Windows Update操作系统的更新来使您下载恶意软件。是真的吗如果可以，我该如何保护自己？

windows-7 windows windows-update

— 用户名
source

9

您听说Windows更新签名错误

— Ramhound

5

如果您真的很偏执，可以更改设置，以使更新不会自动下载（设置为“仅通知”或“不执行任何操作”），然后手动转到“ Windows Update”以加载/安装更改。这样可以确保它们来自Microsoft。

— Daniel R Hicks

1

与此相关的是，已知恶意软件会隐藏在受信任的软件后面，以避开UAC提示。例如，ZeroAccess会将其自身附加到Adobe Flash Player安装程序，以便UAC提示符看起来合法，并且您会想，“哦，这只是Flash再次更新...”，然后单击。

— indiv 2014年

传闻却没有巴纳比·杰克证明这一点，几年前，它是由麦基在他的Defcon谈话去年提到的- youtube.com/watch?v=TSR-b9y（开始围绕35分钟大关）

— JMK

31

一个普通的黑客几乎不可能通过Windows Update系统向您发送一些信息。

但是您听到的是不同的。该间谍软件看起来像Windows Update，并告诉您安装它。如果您随后单击安装，则会弹出一个UAC提示，询问管理权限。如果您接受，则可以安装间谍软件。请注意，Windows Update永远不需要您通过UAC提升测试。这不是必需的，因为Windows Update服务以具有最高特权的SYSTEM身份运行。在Windows Update安装过程中，唯一的提示是批准许可协议。

编辑：对该职位进行了更改，因为政府可能能够实现这一目标，但是我怀疑作为一个普通公民，您无论如何都可以免受政府的攻击。

— LPC芯片
source

50

真的“不可能”吗？我们是否可以按照“极不可能/不可能”的方式进行处理？

— 2014年

11

@root我想，如果他们假冒WSUS并以这种方式更改Windows更新（当然，它们确实需要他们想要获得的管理特权），则Windows Update可能会获取恶意的Windows Update。我还没有听说过通过这种方法传播的任何感染，而且我怀疑它们会以这种方式传播，因为如果他们获得管理特权，就可以按照他们打算的方式用间谍软件感染计算机。

— LPChip 2014年

7

他们过去一直在XP中这样做。您真正要做的就是修改hosts文件，以将请求重定向到恶意网站。

— ps2goat 2014年

3

难道不是Flame做的吗？

— 2014年

9

-1，因为此答案不正确。尽管这是非常，非常不可能和@LPChip自己无法想象它曾经发生的事情就发生在现实生活中

— slebetman

8

对，是真的。

的火焰恶意软件通过漏洞在Windows更新过程攻击用户。它的创建者在Windows更新系统中发现了一个安全漏洞，使他们可以欺骗受害者，以为他们的包含恶意软件的补丁程序是真实的Windows更新。

恶意软件的目标可以做什么来保护自己？不多。火焰去了多年未被发现。

但是，Microsoft现在修补了安全漏洞，该漏洞使Flame可以在Windows更新中隐藏自身。这意味着黑客要么找到一个新的安全漏洞，要么贿赂Microsoft以使其具有签名更新的能力，或者干脆从Microsoft窃取签名密钥。

攻击者还必须处于网络中的某个位置才能进行中间人攻击。

这意味着在实践中，这只是您要考虑防御诸如NSA之类的民族国家攻击者时所要担心的问题。

— 基督教
source

该答案尚未得到证实。它不是由Microsoft签名的，而是由证书签名的，因为所使用的证书具有相同的签名

— Ramhound

1

@Ramhound：我没有在这个答案中声称它是由Microsoft签名的。我声称它有一个签名，由于安全漏洞，它看起来像是由Microsoft签名的。他们有一个0天的服务，Microsoft随后对其进行了修补。

— 基督教徒

2

我从未被Windows Update分发过

— Ramhound

@Ramhound：我更改了这句话，您对新版本满意吗？

— 基督教徒

2

仅使用Windows Update控制面板更新Windows软件。切勿点击您无法完全信任的任何网站。

— 铁人
source

感谢您的建议。我听说黑客有可能将其恶意软件掩盖为windwos的正式更新，并使Windows Update告知您必须下载它。是真的吗

— user3787755 2014年

3

在我看来听起来像是FUD-他们不仅必须将恶意软件安装到Microsoft的服务器上，而且还必须设法构建一个描述它的知识库文章...所有这些都无需MS注意到

— -Tetsujin

4

如果他们偷了密钥，然后劫持了您的DNS服务器...那么就可以了。仍然非常不可能的。

— D Schlachter

2

@DSchlachter在大多数工业化国家的间谍团的能力范围内。

— Snowbody 2014年

2

许多答案已正确指出，Flame Malware使用了Windows更新过程中的缺陷，但是一些重要的细节已被概括。

微软技术网“安全研究与防御博客”上的这篇文章标题为：火焰恶意软件碰撞攻击

...默认情况下，攻击者的证书在Windows Vista或更旧版本的Windows上不起作用。他们必须进行碰撞攻击才能伪造证书，该证书对于Windows Vista或更新版本的Windows上的代码签名有效。在Windows Vista之前的系统上，没有MD5哈希冲突就可以进行攻击。

“ MD5碰撞攻击” =高度技术性的加密巫术-我当然不假装理解。

当卡巴斯基（Kaspersky）在2012年5月28日发现并公开披露 Flame时，研究人员发现它至少从2010年3月开始就在野外运行，其代码库从2007年开始开发。尽管Flame有其他几种传染媒介，但底线是在发现和修补此漏洞之前已经存在了几年。

但是Flame是“民族国家”级别的操作，并且已经指出-普通用户几乎无法保护自己免受三封信件的侵害。

邪恶等级

Evilgrade是一个模块化框架，允许用户通过注入假更新来利用不良的升级实现。它带有预制的二进制文件（代理），这是快速渗透测试的工作默认配置，并且具有自己的WebServer和DNSServer模块。易于设置新设置，并且在设置新的二进制代理时具有自动配置。

该项目托管在Github上。它是免费和开源的。

引用预期的用法：

当攻击者能够进行主机名重定向（操纵受害者的dns流量）时，此框架就会起作用...

翻译：可能与您在同一（LAN）网络上的任何人，或者可以操纵您的DNS的人...仍然使用默认用户名并传递您的linksys路由器...？

当前有63种不同的“模块”或受其攻击的潜在软件更新，它们的名称包括iTunes，vmware，virtualbox，skype，notepad ++，ccleaner，Teamviewer等。没有一个适用于“当前”版本，但是嘿-谁仍然会更新...

该视频中的演示

— 鲍勃
source