Bemutatkozik a Windows Sandbox

Microsoft, Windows

A Windows Kernel Internals blogon mutatja be Hari Pulapaka a Windows Sandbox-ot, a pehelysúlyú desktop környezetet, amelyet nem megbízható helyről származó alkalmazások elszeparált futtatására terveztek. Kipróbálásához Windows 10 Pro / Windows 10 Enterprise build 18301 vagy újabb Insider build szükséges. Élesben valamikor 2019 márciusában mutatkozhat be. További részletek róla itt.

( uid_16313 | 2018. 12. 19., sze – 17:13 )

Nahát. Akkor itt az ideje, hogy lecsupasszák a rendszert tökig, majd mindent sandbox alatt futtassanak.

--
robyboy

Amennyire én tudom a Defender gyanús kódrészleteket keres/futtatás közben figyeli az elindított programokat, míg más vírus keresők automatikusan, emulált windows környezetben elindítanak minden letöltött/csatolmányban kapott exe fájlt.

Comodo Antivirus includes a x86 emulator that is used to unpack and monitor obfuscated executables, this is common practice among antivirus products. The idea is that emulators can run the code safely for a short time, giving the sample enough time to unpack itself or do something that can be profiled.

I've found some memory corruption issues with the emulator, but Comodo also implement hundreds of shims for Win32 API calls, so that things like CreateFile, LoadLibrary, and so on appear to work to the emulated code. Astonishingly, some of these shims simply extract the parameters from the emulated address space and pass them directly to the real API, while running as NT AUTHORITY\SYSTEM. The results are then poked back in to the emulator, and the code continues.

The possible attacks here are too numerous to mention.

Here are some of the more obvious mistakes, let's start with USER32!GetKeyState ...

forrás: Comodo: Comodo Antivirus Forwards Emulated API calls to the Real API during scans

( dcsaba v | 2018. 12. 19., sze – 17:55 )

keygeneksze biztonságos futtatásához

( YleGreg | 2018. 12. 19., sze – 19:43 )

Na. Akkor lassan eljutnak a Qubes-OS szintjere? Az irany mar megvan, most mar csak a virtualuzacios komponenseket kell osszedrotozniuk. :-)

Felek, hogy megimt megallnak feluton, es a szokas szerinti majdnem jo rendszer lesz belole.

Tok jo lenne, ha egyszer befejeznek amit elkezdtek, es nem hagynak abba a csinalasat csak mert talaltak valami csicsasabb celt.

( KGer | 2018. 12. 20., cs – 10:21 )

ha jól tudom linux alatt sem tudják megoldani úgy az app sandbox-ot hogy ne tudjanak kitörni belőle, win alatt ez menni fog?

A leírás alapján ez vm-hez van közelebb, amit azért könnyebb izolálni és a linuxon is viszonylag megbízhatóan működik elszeparálva a futtató környezettől.

"At its core Windows Sandbox is a lightweight virtual machine, so it needs an operating system image to boot from. One of the key enhancements we have made for Windows Sandbox is the ability to use a copy of the Windows 10 installed on your computer, instead of downloading a new VHD image as you would have to do with an ordinary virtual machine."