De ce Windows identifică aplicațiile aleatorii ca amenințări

Unii proprietari de PC-uri Windows s-au trezit la începutul acestei săptămâni și au descoperit că computerele lor primesc brusc mesaje spam care avertizează Windows Defender despre un nou „HackTool” numit WinRing0. Deși aceste avertismente sunt cu siguranță alarmante, este posibil ca computerul dvs. să nu fie de fapt atacat - cel puțin nu încă. Dar asta nu înseamnă că ar trebui să ignorați avertismentele.

De ce WinRing0 a început să activeze Windows Defender

Problema cu alertele aleatoare ca aceasta este că nu este întotdeauna clar care este amenințarea sau de ce Defender o consideră o amenințare. În cazul WinRing0, s-a datorat unei exploatări în acest software la nivel de kernel, care a fost anterior legată de un program malware periculoasă (după cum a raportat BleepingComputer).

Practic, a avea acces la nivel de kernel înseamnă că WinRing0 are acces la componentele și resursele de bază ale sistemului de operare. Este un pariu periculos dacă software-ul poate fi exploatat cumva și se pare că WinRing0 a fost principalul motor din spatele modului în care funcționează malware SteelFox și obține acces la sistemele infectate.

Chiar dacă ați depus efortul de a întări securitatea PC-ului Windows cu Defender, programele malware precum SteelFox pot folosi în continuare vulnerabilitatea găsită în WinRing0 pentru a ocoli protecția dumneavoastră.

O altă mare problemă cu software-ul precum WinRing0 este că tinde să-și găsească drumul într-o mulțime de software diferite. Acesta este cazul acestui ultim avertisment Windows Defender, despre care The Verge raportează că face parte dintr-o serie de aplicații de control al ventilatoarelor pentru PC utilizate pe scară largă, inclusiv Fan Control, care a fost menționat în urmă cu câțiva ani.

De asemenea, Windows Defender pare să declanșeze avertismentul dacă aveți instalat un alt software de monitorizare terță parte, inclusiv Libre Hardware Monitor, MSI Afterburner , SteelSeries Engine, Razer Synapse, OmenMon etc.

Acest lucru nu este surprinzător.

Impactul general al acestui lucru asupra software-ului de monitorizare precum Afterburner și Fan Control este clar. Cu excepția cazului în care Microsoft oferă o modalitate pentru aceste aplicații de a accesa acele permisiuni de nivel scăzut în viitor, vă asumați un risc uriaș de securitate instalând și folosind oricare dintre ele.

Totuși, mișcarea nu este complet neașteptată. Incidentul masiv CrowdStrike de anul trecut a avut consecințe îngrozitoare pentru multe companii, inclusiv pentru unele companii axate pe asistență medicală. De la acel incident, Microsoft a fost supus multă presiune pentru a închide găurile de securitate care nu ar trebui să existe, cum ar fi cel folosit de WinRing0 pentru a accesa privilegiile la nivel de kernel.

Nu este clar de ce i-a luat Microsoft atât de mult să se adreseze WinRing0. Cu toate acestea, acest lucru nu înseamnă că software-ul care îl folosește este complet inutil. Le puteți folosi în continuare dacă doriți. Cu toate acestea, este foarte probabil să vă puneți sistemul în pericol făcând acest lucru.

Din păcate, există o soluție, dar șansele de succes sunt foarte mici. Conform comentariilor de pe GitHub, vulnerabilitatea găsită în WinRing0 a fost corectată. Cu toate acestea, este puțin probabil ca Microsoft să aprobe și să semneze acea versiune, deoarece comunitatea open source din spatele acesteia nu crede că are mijloacele pentru a determina Microsoft să semneze cea mai recentă versiune. Și fără semnătura Microsoft, nu o veți putea instala pe sistemul dvs. Windows.

Singura altă alternativă este ca fiecare dintre acești dezvoltatori de aplicații să își creeze propriul software pentru a accesa permisiunile la nivel de kernel. Dar este un efort costisitor pe care mulți dintre ei nu și-l pot permite. Chiar dacă o fac, probabil că va avea ca rezultat costuri suplimentare pentru utilizatorii lor de software prin achizițiile de software.

Dacă utilizați oricare dintre software-urile de monitorizare menționate mai sus sau dacă observați că Windows Defender vă avertizează despre WinRing0 pe sistemul dvs., atunci probabil că nu aveți de ce să vă faceți griji pentru moment. Cu toate acestea, este mai bine să fii sigur decât să-ți pară rău, mai ales când vine vorba de software cu acces la nivel de kernel ca acesta.