שְׁאֵלָה:
עדכון חבילות שפות של Windows עם שם מקשקש
executifs
2015-09-30 17:45:49 UTC
view on stackexchange narkive permalink

הבוקר שמתי לב שהוצע לי עדכון חדש של Windows. זה נראה לי מאוד חשוד:

Malicious Windows update

להלן פרטי העדכון: 

  gYxseNjwafVPfgsoHnzLblmmAxZUiOnGcchqEAEwjyxwjUIfpXfJQcdLapTmFa 4,3 מגה"ב ייתכן שיהיה עליך להפעיל מחדש את המחשב כדי שעדכון זה ייכנס לתוקף. סוג עדכון: חשוב qQMphgyOoFUxFLfNprOUQpHS מידע נוסף: https: //hckSLpGtvi.PguhWDz.fuVOl.govhttps: //jNt.JFnFA.Jigf.xnzMQAFnZ.ed: https://jNt.JFnFA.Jigf.xnzMQAFnZ. : //IIKaR.ktBDARxd.plepVV.PGetGeG.lfIYQIHCN.mil

ברור שזה נראה דגי מדי להתקנה, אבל הייתי רוצה לדעת יותר. האם כולם קיבלו את העדכון הזה (לגוגל יש רק כמה כניסות לכך)? יכול להיות שזו התקפה? האם יש דרך להוריד את נתוני העדכון מבלי להתקין אותם?

אני פתוח לכל רעיונות.

אני מריץ Windows 7 Pro (64 סיביות).

כפי שצוינה להלן @Buck, העדכון אינו זמין עוד באמצעות Windows Update. אני לא בטוח כיצד תיפתר שאלה זו.

קישורי המידע נראים כמו דומיינים שנוצרו באופן אקראי וזו התנהגות ידועה של רשתות בוט שנקראות אלגוריתם Generation Domain (DGA) המשמש להסתרת הבקרים האמיתיים. עם זאת, התחומים הם NX (לא רשום) אז או שהייתה פגיעה בנתונים, או שאני לא רואה טעם. האם כולם קיבלו את אותם הערכים בעדכונים שלהם או שהם ייחודיים? (לידיעתך, אני לא יכול לפרסם תשובות כי זה מוגן)
בהתבסס על חיפוש בגוגל, נראה שלפחות כמה אנשים אחרים קיבלו את אותו עדכון בדיוק (כולל דומיינים).
יש גם שרשור על [תשובות בנושא] (https://answers.microsoft.com/en-us/windows/forum/windows_7-update/windows-7-update-appears-to-be-compromised/e96a0834- a9e9-4f03-a187-bef8ee62725e).
"פרסמנו באופן שגוי עדכון בדיקה ונמצא בתהליך הסרתו." - דובר מיקרוסופט
הרשם פשוט הוציא את זה: http://www.theregister.co.uk/2015/09/30/windows_update_glitch/
האם אתה בטוח שכתוב "4,3 מגהבייט" (לא "4.3 מגה"ב")? שינית את הנקודה העשרונית ל "," בהגדרות אזוריות?
מערכת ההפעלה מותקנת באנגלית, אך אני משתמש בהגדרות האזוריות של צרפת. הנקודה העשרונית מושפעת ככל הנראה מכך. לתפוס נחמד, אגב.
שתיים תשובות:
Xander
2015-10-01 00:01:48 UTC
view on stackexchange narkive permalink

התקשורת הרשמית ממיקרוסופט בשלב זה:

"פרסמנו באופן שגוי עדכון בדיקה ונמצאים בתהליך הסרתו." - דובר של מיקרוסופט

לא אוסיף פרשנות, אלא אעדכן את התשובה ככל שיהיה מידע נוסף זמין.

לפרשנות ניתן לראות דוח חדשות: http://www.zdnet.com/article/microsoft-accidentally-issued-a-test-windows-update-patch/
יש גם מאמר על כך ב- ARS: http://arstechnica.com/security/2015/09/nerves-rattled-by-highly-suspicious-windows-update-delivered-worldwide/
אני לא אוסיף פרשנות כי אחרת היא תסומן כפוגענית של מיקרוסופט. וואו. פשוט וואו.
אני אדוב רק את התיקון הזה: "לעבור ל- Windows 10 או אחר".
זה עדיין לא מסביר את התחומים .gov ו- .mil בתיאור התיקון. אני מניח שלעולם לא נדע מה באמת קרה.
@Sebi מדוע אלה יזדקקו להסברים, ולא על .edu?
@Xander כל ישות מסחרית (כביכול אזרחית) שמנהלת עסקים עם הממשלה והצבא מעבירה את עצמה לתשומת לב וביקורת בלתי רצויים. באשר לתחום .edu יכול להיות שבגלל המספר הרב של הזיקות לגופי חינוך ברחבי העולם, התקבלה החלטה לשנות את הפונקציונליות של מוצרי התוכנה המופצים באמצעותם. כסטודנט הייתה לי גישה לכל מוצר טרשת נפוצה באמצעות קוד המסופק על ידי האוניברסיטה שלי. השימוש במוצרים היה בלתי מוגבל. אולי, בשנים האחרונות המדיניות השתנתה והיה צורך ב"עדכון ".
@sebi: למען האמת אני חושד שלמיקרוסופט יש ספריה פנימית עם פונקציות שיכולות ליצור מחרוזות "אקראיות", כתובות אתרים, מספרים וכו '. ספרייה כזו באמת שימושית ליישומי בדיקת fuzz מסוימים, ופשוט ליצור נתוני זבל למילוי רשומות נדרשות לא אכפת לך בזמן הבדיקה. מכיוון שזה מועיל אם כתובות ה- URL יעבור כל regexes לאימות, בחירה של TLD אקראי מתוך רשימה של TLD ידועים (כגון קומץ TLD המקורי) תהיה הגיונית. אני חושד שספרייה כזו שימשה כאן, וכל כתובות האתר נוצרו כך.
Sebi
2015-09-30 18:25:00 UTC
view on stackexchange narkive permalink

כן, זה נראה מאוד מוזר לכלול דומיין של .mil לעדכון של מוצר תוכנה מסחרי. אני לא מצליח להחזיר את הבעיה, אך תוכל להריץ את העדכון הספציפי במכונה וירטואלית, לסגור את כל החיבורים הנכנסים והיוצאים במחשב המארח (וכל מכונות אורח הפועלות אפשריות) ולעקוב אחר העדכון דרך tcpdump חזק> / wireshark .

אז לפחות תוכל לבדוק מאיפה מפיץ את העדכון. לאחר מכן, תוכלו לבדוק את הכתובות המרוחקות המעורבות מול רשימות שחורות וכן את מיקומן.

תוכל לשנות את מיקום ההורדה המוגדר כברירת מחדל של העדכון: 

  net stop wuauservmklink / jc: \ windows \ softwaredistribution d: \ other \ רצוי \ locationnet start wuauserv  קוד>

ונסה להנדס אותו לאחור.

מוזר לכלול .mil ו- .gov ו- edu ...
כן, לא במקום ולוכד את העין.
@Iszi אני חושב שאלה TLD ספציפיים משמשים כאן מהסיבה שהם לא ניתנים לרישום לכולם חוץ מסוכנויות ממשלתיות או צבאיות ומוסדות חינוך. בדרך זו איש אינו יכול לרשום אחד מאותם תחומים אם נאמר עדכון, שפורסם בטעות כפי שקרה במקרה זה.


ⓘ
שאלה ותשובה זו תורגמה אוטומטית מהשפה האנגלית.התוכן המקורי זמין ב- stackexchange, ואנו מודים לו על רישיון cc by-sa 3.0 עליו הוא מופץ.
Loading...