"A Microsoft nem sandboxolta a Windows Defender-t, így megtettem én"

Titkosítás, biztonság, privát szféra

A Windows Defender a támadók kiváló célpontja, mert jelen van és be van kapcsolva a windowsos gépek jelentős részén, a core komponense (MsMpEng) SYSTEM joggal fut és a Microsoft a biztonsági szakemberek figyelmeztetései ellenére sem sandboxolta még. Ezzel a Microsoft komoly kockázatnak teszi ki ügyfeleit. A Trail of Bits ezért úgy döntött, hogy sandboxolja a Microsoft helyett a Windows Defender-t, a kódot pedig megnyitotta Flying Sandbox Monster néven.

A részletek itt olvashatók.

( Tassadar v | 2017. 08. 03., cs – 08:48 )

Tegyük fel, hogy hozzáfér egy más felhasználó nevében futó process-hez, vírusgyanús tevékenységnek tűnik.
Hogy fogja bezárni vagy törölni sandbox-ból?

Ezt úgy szokás, hogy a működési mechanizmus a sandboxon kívül van, belülre az kerül, ami érdemben buzerálja az ismeretlen forrásból érkezett kódot. Aminek az eredménye az lesz, hogy 'ok', vagy bármi más (mondjuk crashel egyet a sandbox).
Pont, mint ahogy egy spam elemzőnek kéne mennie: külön processz, unprivileged userrel, kontrollált külső kapcsolódási lehetőségekkel megkapja a levelet, megnézi, okoskodik, az eredmény pedig egy szám, hogy mennyire spam a cucc. Aztán az MTA lesz az, ami az eredmény alapján elirányítja a levelet.