EMET - Protezione anti-exploit avanzata per le applicazioni

[x_Master_x]

Ben fatto

[nV 25]

Originariamente inviato da deepdark

Non mi sono chiare due cose:
-emet protegge contro tutti gli exploit o, come penso, solo per un tipo di esso?

Cioè, a quale tipo stai pensando?

La copertura di EMET sui processi emetizzati è generica e dovrebbe abbracciare quantomeno tutti gli exploit portati sui processi...

In poche parole, i Kernel Mode exploit presumo siano esclusi dato che dovrebbero essere coperti solo con le apposite patch a rilascio mensile...

-se vado in un sito X che usa una vulnerabilità di firefox (o altro browser), e io l'ho emetizzato, dovrei (alla luce della prima domanda) essere protetto, ma se richiamasse Java e se non l'ho protetto a sua volta, verrei infettato?

a regola se castro l'exploit su Firefox è impedita anche l'apertura (malevola) di Java.

Detto questo, se usi Java *DEVI* proteggerne gli eseguibili per forza di cose, tant'è vero che le regole di default incorporano già quanto necessario...

Mica le hai cancellate???

Ps. non si potrebbe fare una lista di compatibilità fatta direttamente da noi? Per esempio, firefox può essere emetizzato tranquillamente? E jdownloader?

Hai voglia te, basta contribuire ...

[bondocks]

Giusto per la cronaca Emet su Windows 8.1 funziona

[nV 25]

allora siamo in 2 ad usarlo, dai...


Se ci fosse un pò più di entusiasmo si potrebbe vedere di aggiungere qualcosa alle FAQ ma, allo stato, direi che è anche troppo quello che c'è ...

[gedigi]

E' disponibile EMET 4.1 http://www.microsoft.com/en-us/downl....aspx?id=41138

Gerardo

[nV 25]

Originariamente inviato da gedigi

E' disponibile EMET 4.1 [...]

[Khronos]

e non si aggiorna tramite WUS? installazione a mano sopra la 4.0? :vogliotroppo:

ARTICOLINO su Technet del Rilascio di EMET 4.1

ma non parla di update.

l'installer stesso crea %ProgramFiles(x86)%\EMET 4.1 , ovviamente la precedente è in EMET 4.0 .

non ho fatto ancora nulla, ho chiuso l'installer.

devo disinstallare a mano la vecchia?

devo provare un windows update?

helpatemi, favore.

[nV 25]

la 4.1 può essere sovrascritta (procedura che ho seguito io) altrimenti percorri il classico disinstalla/reinstalla.


Sulla mancanza di un banalissimo meccanismo di aggiornamento automatico:
è evidente che chi sviluppa il tool (figure con le °° quadrate) è più teso alla sostanza che non alla forma, altrimenti non si spiega perchè alle soglie del 2014 non ci abbiano pensato.

Ora:
se sulla sostanza non c'è possibilità di voce in capitolo per evidenti motivi, sulla forma potremmo anche farci sentire perchè migliorie potrebbero essere adottate, e infatti anch'io nel mio piccolo avrei in mente qualcosa.

Gerardo?

Può essere utile?

[Khronos]

eh, un messaggino forward al team...

[ezio]

Appena installata la 4.1 su Win8.1 Pro x64.
Ho attivato il profilo per la sicurezza massima (dep e sehop always on) e il rilevamento dei deep hooks per le applicazioni, al momento non sembrano esserci incompatibilità.

Funziona anche il servizio per l'utilizzo dei visual style non standard (uxstyle) e il tool per le trasparenze di esplora risorse (system transparency), pensavo che soprattutto il primo potesse dare problemi.

[ezio]

Beccata un'app incompatibile con il DEP impostato su Always ON
http://fear-community.org/
Nessun problema invece con il SEHOP.

Anche disattivando tutte le mitigazioni per gli eseguibili del gioco nella scheda Apps non ne vuole sapere di partire, il processo si apre e chiude subito dopo.

[nV 25]

risultati impressionanti a favore di EMET da uno studio indipendente,





da http://www.virusbtn.com/pdf/conferen...ela-VB2013.pdf






Notizie tratte da Tests of EMET

[nV 25]

in realtà, mi sono accorto solo da poco che l'unico studio significativo per la sua attualità è il primo essendo datato infatti 16/10/2013...

Ora edito il post, scusate

[maxmax80]

io ormai lo installo su tutti i pc che assemblo

[Freddo69]

Ragazzi io ho Windows 7 a 64 bit e un pc del 2010 ma ancora ottimo spero, questo EMET sembra un must have, mi consigliate di metterlo? Grazie
La mia configurazione è questa ma purtroppo di exploits ne ho:
http://s21.postimg.org/vz9ei5ol3/Immagine.jpg

[nV 25]

Originariamente inviato da Freddo69

...questo EMET sembra un must have,

togli il sembra

mi consigliate di metterlo?

alla grande

ma purtroppo di exploits ne ho

?

[Freddo69]

rispondo al "?":

io pensavo che gli exploits fossero qualcosa di simile ai crashes, invece no e non so cosa siano, cmq lo metto e cerco di trovare il significato, grazie

edit-installato.

[nV 25]

Uppino

[nV 25]

Se qualcuno avesse aggiornato VLC alla versione 2.1.3, si sarà sicuramente accorto che EMET ne impedisce l'esecuzione.

L'ostacolo, cmq, si aggira velocemente rimuovendo l'apposito flag alla mitigazione che da noia (SimExecFlow).

E' evidente però che questa strada debba essere considerata come temporanea dato che si aumenta inevitabilmente il grado di libertà concesso a VLC e quindi, di riflesso, il margine di manovra concesso all'eventuale exploit che sfrutti proprio questo player per i propri scopi.

In altri termini, se rilassare un settaggio ad un programma di per se significa poco, si deve considerare che cosi' facendo si va ad incidere sul rischio (di infezione) cui è soggetta la macchina.

Vlc 2.1.3 is stopped by EMET 4.1 ...
VLC V2.1.3 crashes with MS EMET

[nV 25]

Bypassing EMET 4.1

full technical whitepaper.pdf


La prima lezione che si ricava è che, nel momento in cui viene definito un obiettivo preciso da attaccare, questo prima o poi cede.

Attenzione xò a non cadere nel facile tranello che vede giustificare l'inutilità del tool in questione dal fatto che è (e sarà sempre) bypassabile da un attacco mirato vuoi perchè per portarlo a termine è richiesto uno sforzo intellettuale non comune dato che il tool va ad innalzare significativamente l'asticella della complessità richiesta per sferrare un attacco aumentando di conseguenza il "costo" sotteso allo sviluppo di un exploit di questo tipo, vuoi perchè il mondo reale è molto più semplice e, in questo mondo, EMET riesce a farsi valere,
CVE-2014-0322

"The Enhanced Mitigation Experience Toolkit (EMET) is also an effective way to block the targeted attacks we have analyzed.
This particular exploit explicitly checks for EMET and refuses to run on any system where EMET is installed.
However, even with the exploit’s EMET check removed, the default configuration of EMET blocks the attack.
In this particular case, EMET’s EAF and Anti-Detour features block the exploit in the default EMET configuration.
With EMET’s “Deep Hooks” feature enabled, the MemProt, StackPivot, and CallerCheck features each independently are capable of blocking this exploit.
We are pleased to see EMET continuing to provide protection for a significant portion of memory corruption exploits today.
On that note, we found that in the second half of 2013, all in-the-wild exploits that we encountered that have leveraging memory corruption for code execution were blocked by EMET!"


Poichè cmq il bypass è stato comunicato per tempo a MS, è attesa a breve giro di boa una nuova versione che va a risolvere i problemi evidenziati.


Alcuni ricercatori sconfiggono le difese dell'antiexploit Microsoft EMET