Критическая уязвимость DLL Sideloading в WinSCP

Уязвимость DLL Sideloading представляет собой метод, при котором в каталог программы добавляется библиотека с тем же именем, что и системная библиотека, необходимая программе. Это позволяет злоумышленникам загрузить вредоносный код вместо системного файла. Метод по-прежнему работает, даже если включен SafeDllSearchMode.

Подробности

Для исследования уязвимости в WinSCP был проведен статический анализ, который включал проверку зависимостей в Import Table и сверку их со списком Known DLLs. Это позволило определить, какие библиотеки могут быть уязвимы для атаки DLL Sideloading. Далее была проведена динамическая проверка с помощью Procmon, чтобы определить, где именно загрузчик ищет необходимые библиотеки.

Что делать

Чтобы защититься от уязвимости DLL Sideloading, пользователи могут использовать различные меры безопасности, такие как активация режима SafeDllSearchMode и мониторинг файловой системы на предмет подозрительного поведения. Также рекомендуется использовать прокси-библиотеки, которые могут перехватывать и анализировать трафик между программами и системными библиотеками. Итог: Уязвимость DLL Sideloading остается актуальной проблемой информационной безопасности, и ее можно использовать для атаки на многие популярные программы. Чтобы защититься от этой уязвимости, необходимо использовать комплексный подход, включающий различные меры безопасности.

Источник: Хабр — Информационная безопасность