Winzapper - Winzapper

Winzapper это бесплатное ПО полезность / инструмент для взлома используется для удаления событий из Microsoft Windows NT 4.0 и Windows 2000 Журнал безопасности. Он был разработан Арне Видстромом как инструмент проверки концепции, демонстрирующий, что после взлома учетной записи администратора журналы событий перестают быть надежными.[1] В соответствии с Разоблачение взлома: Windows Server 2003, Winzapper работает с Windows NT / 2000/2003.[2]

До создания Winzapper администраторы уже имели возможность очищать журнал безопасности с помощью Просмотрщик событий или с помощью сторонних инструментов, таких как Clearlogs.[3] Однако в Windows отсутствовал какой-либо встроенный метод выборочного удаления событий из журнала безопасности. Неожиданная очистка журнала, скорее всего, станет для системных администраторов красным сигналом о том, что вторжение произошло. Winzapper позволит хакеру скрыть вторжение, удалив только те события журнала, которые имеют отношение к атаке. В публично выпущенном Winzapper отсутствовала возможность удаленного запуска без использования таких инструментов, как Терминальные службы. Однако, по словам Арне Видстрома, его можно легко модифицировать для удаленного управления.[4]

Также существует несвязанный троянский конь с таким же названием.[5]

Контрмеры

Winzapper создает резервную копию журнала безопасности «dummy.dat» в% systemroot% system32config. Этот файл может быть восстановленный после атаки восстановить исходный журнал.[6] Однако возможно, что опытный пользователь скопирует достаточно большой файл поверх файла dummy.dat и, таким образом, безвозвратно перезапишет его. Winzapper приводит к невозможности использования средства просмотра событий до тех пор, пока перезагрузка, поэтому неожиданная перезагрузка может указывать на то, что Winzapper недавно использовался.[7] Другим потенциальным ключом к попытке использования Winzapper может быть повреждение журнала безопасности (требующее его очистки), поскольку всегда существует небольшой риск того, что Winzapper сделает это.

Согласно WindowsNetworking.com, «один из способов предотвратить использование этого инструмента администраторами-мошенниками на ваших серверах - это реализовать политику ограниченного использования программ с использованием групповой политики, которая предотвращает запуск исполняемого файла WinZapper».[8]

Рекомендации

  1. ^ Winzapper FAQ, NTSecurity.
  2. ^ Джоэл Скамбрей, Стюарт МакКлюр (27 октября 2006 г.). Взлом открытого Windows Server 2003. McGraw-Hill Osborne Media, 1 выпуск. п. 228.
  3. ^ "Hacktool.Clearlogs". Symantec.com.
  4. ^ Видстром, Арне (6 сентября 2000 г.). «Объявление WinZapper - стереть отдельные записи событий в журнале безопасности Windows NT 4.0 / 2000». Security-express.com.
  5. ^ "Троян Winzapper". Logiguard.com.
  6. ^ "Криминалистический след Winzapper". Криминалистика. 8thdaytech.com.
  7. ^ Сейфрид, Курт. «Технический документ по безопасности Microsoft - Windows NT». Seifried.org.
  8. ^ «Пробелы в журнале безопасности». Windowsnetworking.com.