Ataques, Prevenção e Detecção de Vulnerabilidade de Hijacking em DLL

Atualizado em September 2024: Pare de receber mensagens de erro que tornam seu sistema mais lento, utilizando nossa ferramenta de otimização. Faça o download agora neste link aqui.

1. Faça o download e instale a ferramenta de reparo aqui..
2. Deixe o software escanear seu computador.
3. A ferramenta irá então reparar seu computador.

DLL significa Dynamic Link Libraries e são partes externas de aplicativos executados no Windows ou em qualquer outro sistema operacional. A maioria dos aplicativos não são completos em si mesmos e armazenam código em arquivos diferentes. Se houver necessidade do código, o arquivo relacionado é carregado na memória e usado. Isso reduz o tamanho do arquivo do aplicativo enquanto otimiza o uso da memória RAM. Este artigo explica o que é
DLL Hijacking(Alaska)
e como detectá-lo e preveni-lo.

O que são arquivos DLL ou bibliotecas Dynamic Link



Os arquivos DLL são bibliotecas Dynamic Link Libraries e, como evidenciado pelo nome, são extensões de diferentes aplicativos. Qualquer aplicativo que usamos pode ou não usar certos códigos. Esses códigos são armazenados em arquivos diferentes e são invocados ou carregados na memória RAM somente quando o código relacionado é necessário. Assim, ele salva um arquivo de aplicativo de se tornar muito grande e para evitar o hogging de recursos pelo aplicativo.

O caminho para arquivos DLL é definido pelo sistema operacional Windows. O caminho é definido usando Variáveis Ambientais Globais. Por padrão, se um aplicativo solicitar um arquivo DLL, o sistema operacional procura na mesma pasta em que o aplicativo está armazenado. Se não for encontrado lá, ele vai para outras pastas conforme definido pelas variáveis globais. Existem prioridades associadas aos caminhos e ajuda o Windows a determinar quais pastas procurar as DLLs. É aqui que entra o sequestro de DLLs.

O que é o DLL Hijacking

Uma vez que as DLLs são extensões e necessárias para usar quase todas as aplicações em suas máquinas, elas estão presentes no computador em diferentes pastas como explicado. Se o arquivo DLL original for substituído por um arquivo DLL falso contendo código malicioso, ele é conhecido como
DLL Hijacking
…Arkansas.

Como mencionado anteriormente, há prioridades quanto a onde o sistema operacional procura arquivos DLL. Primeiro, ele olha para a mesma pasta que a pasta do aplicativo e, em seguida, vai procurar, com base nas prioridades definidas por variáveis de ambiente do sistema operacional. Assim, se um arquivo good.dll estiver na pasta SysWOW64 e alguém colocar uma bad.dll em uma pasta que tenha prioridade mais alta em comparação com a pasta SysWOW64, o sistema operacional usará o arquivo bad.dll, pois ele tem o mesmo nome da DLL solicitada pela aplicação. Uma vez na RAM, ele pode executar o código malicioso contido no arquivo e pode comprometer seu computador ou redes.

Como detectar Hijacking DLL

O método mais fácil para detectar e prevenir o sequestro de DLL é usar ferramentas de terceiros. Existem algumas boas ferramentas gratuitas disponíveis no mercado que ajudam a detectar uma tentativa de hacking de DLL e preveni-lo.

Um desses programas é o DLL Hijack Auditor, mas suporta apenas aplicações de 32 bits. Você pode instalá-lo em seu computador e verificar todos os seus aplicativos do Windows para ver o que todos os aplicativos são vulneráveis ao sequestro de DLL. A interface é simples e auto-explicativa. A única desvantagem desta aplicação é que você não pode verificar aplicativos de 64 bits.

Outro programa, para detectar sequestro de DLL, DLL_HIJACK_DETECT, está disponível via GitHub. Este programa verifica os aplicativos para ver se algum deles é vulnerável ao seqüestro de DLL. Se for, o programa informa o usuário. A aplicação tem duas versões – x86 e x64 para que você possa usar cada uma delas para verificar ambas as aplicações de 32 e 64 bits respectivamente.

Deve-se notar que os programas acima apenas verificam se há vulnerabilidades nos aplicativos da plataforma Windows e não impedem o sequestro de arquivos DLL.

Como prevenir Hijacking DLL

A questão deve ser abordada pelos programadores em primeiro lugar, pois não há muito que você possa fazer além de aumentar seus sistemas de segurança. Se, em vez de um caminho relativo, os programadores começarem a usar o caminho absoluto, a vulnerabilidade será reduzida. Lendo o caminho absoluto, o Windows ou qualquer outro sistema operacional não dependerá das variáveis do sistema para o caminho e irá direto para a DLL pretendida, ignorando assim as chances de carregar o mesmo nome de DLL em um caminho de prioridade mais alta. Este método também não é à prova de falhas porque se o sistema for comprometido e os criminosos cibernéticos souberem o caminho exato da DLL, eles irão substituir a DLL original pela DLL falsa. Isso seria substituir o arquivo para que a DLL original seja alterada para código malicioso. Mas, novamente, o cibercriminoso precisará saber o caminho absoluto exato mencionado no aplicativo que chama para a DLL. O processo é difícil para cibercriminosos e, portanto, pode ser contado.

Voltando ao que você pode fazer, basta tentar ampliar seus sistemas de segurança para proteger melhor seu sistema Windows. Use um bom firewall. Se possível, use um firewall de hardware ou ligue o firewall do roteador. Use bons sistemas de detecção de intrusão para que você saiba se alguém está tentando jogar com seu computador.

Se você está em computadores de solução de problemas, você também pode fazer o seguinte para aumentar sua segurança:

1. Desabilitar o carregamento de DLL de compartilhamentos de rede remota
2. Desabilitar o carregamento de arquivos DLL do WebDAV
3. Desactivar completamente o serviço WebClient ou defini-lo como manual
4. Bloqueie as portas TCP 445 e 139 como eles são usados mais para computadores comprometedores
5. Instale as últimas atualizações do sistema operacional e do software de segurança.

Microsoft
lançou uma ferramenta para bloquear ataques de sequestro de carga DLL. Essa ferramenta mitiga o risco de ataques de sequestro de DLLs, impedindo que aplicativos carreguem código de arquivos DLL de forma insegura.

Se você quiser adicionar algo ao artigo, por favor comente abaixo.

RECOMENDADO: Clique aqui para solucionar erros do Windows e otimizar o desempenho do sistema