ALERTAS | Noticias | 25 FEB 2016

EMET, la herramienta de defensa frente a exploits de Microsoft, se puede volver contra sí misma

Descubierta una vulnerabilidad que permite a los hackers activar una función específica en EMET que desactiva todas las protecciones que se usan también para otra aplicaciones
EMET seguridad Microsoft
Toñi Herrero Alcántara

Investigadores de la firma de seguridad FireEye han encontrado un método por el cual los hackers podrían deshabilitar de forma fácil Microsoft Enhanced Mitigation Experience Toolkit ( EMET), una herramienta de protección utilizada por muchas compañías para reforzar sus equipos con Windows y aplicaciones contra exploits de software conocidos o desconocidos. Según sus conclusiones con los exploits se puede introducir una función específica que deshabilitaría las protecciones que utiliza para otras aplicaciones. De esta manera, aprovecharían una función propia de EMET para atacar.

El funcionamiento de EMET se basa en la introducción de archivos DLL (Dynamic Link Libraries) en los procesos que afectan a las aplicaciones de terceros para los que está configurada la protección. Esto le permite monitorizar desde las llamadas a esos  procesos hasta las API críticas de sistema y determinar si son legítimos o el resultado de una vulnerabilidad .De esta manera es capaz de determinar si dichos procesos son legítimos o no. La herramienta también se encarga de introducir unos códigos que devuelven los procesos protegidos a su situación inicial sin causar daños y es precisamente en este punto el que los han descubierto los investigadores de FireEye que se puede volver al programa en su propia contra.

Los investigadores también descubrieron que los apartados que se han quedado más desprotegidos tienen que ver con errores de diseño e implementación y  algunos módulos o API. Métodos para desactivar las protecciones EMET por completo también se habían dado a conocer con anterioridad. Así pues esta no es la primera vez que se han detectado problemas con este sistema, aunque generalmente resultaba una tarea difícil para los piratas informáticos saltarse las protecciones. Desde su creación en 2009, EMET puede cumplir mecanismos modernos de mitigación de exploits como Data Execution Prevention (DEP), Address Space Layout Randomization (ASLR) o Export Address Table Access Filtering (EAF) para las aplicaciones, incluso las heredadas (legacy), que fueron construidas sin ella. Esto hace que sea mucho más difícil para los atacantes aprovechar las vulnerabilidades de las aplicaciones con el fin de poner en peligro los ordenadores .

Para los expertos de FireEye, la técnica que pone a  EMET en contra de sí mismo, además de ser mucho más sencilla, también es más peligrosa  ya que a excepción de la última versión, la 5.5, puede atacar a todas las anteriores-- 5.0, 5.1 y 5.2 --, incluyendo las que ya no son compatibles con los equipos, como 4.1.

Aunque Microsoft ya ha corregido el problema con  la versión  5.5, la mayoría de usuarios aún no han actualizado sus equipos. El motivo es que esta actualización estaba dirigida a hacer EMET compatible con Windows 10.  Por ello desde FireEye se recomienda actualizar cuanto a antes a la versión 5.5 para evitar futuros ataques.   Aparte de ser compatible con Windows 10, la nueva versión mejora la configuración y la gestión de las protecciones.

Contenidos recomendados...

Comentar
Para comentar, es necesario iniciar sesión
Se muestran 0 comentarios
X

Uso de cookies

Esta web utiliza cookies técnicas, de personalización y análisis, propias y de terceros, para facilitarle la navegación de forma anónima y analizar estadísticas del uso de la web. Consideramos que si continúa navegando, acepta su uso. Obtener más información