Пользователи Windows 10 заметили, что программа Microsoft Defender с недавнего времени начала предупреждать об изменении файла hosts, если там прописаны блокировки для серверов телеметрии ОС.
Антивирусная программа Microsoft Defender и ранее классифицировала подобный инцидент как угрозу безопасности пользователя под названием «SettingsModifier:Win32/HostsFileHijack» (аналогично Trojan.Win32.Qhost в антивирусе Касперского или Qhosts.apd в McAfee), но если на то были действительно веские причины, например, там появлялись строки в процессе работы зловредов. Теперь же даже простые действия пользователей, которые хотят заблокировать доступ ОС к серверам телеметрии, расценивается Microsoft как потенциальная угроза безопасности системы.
В настоящий момент Microsoft Defender только предупреждает о наличии новой нежелательной угрозы в случае модификации файла hosts. Если пользователь попробует с помощью антивируса устранить угрозу, то файл hosts будет переписан до начального вида и будет содержать текст, который там присутствует по умолчанию после установки ОС.
Пользователи рассказали, что если сейчас после получения последних обновлений ОС Windows 10, со включенным и также обновленным Microsoft Defender, они пытаются под аккаунтом администратора изменить файл hosts, добавив в него блокировку любых из ниже перечисленных адресов, то система просто не даст его сохранить и выдаст ошибку:
После некоторого перебора различных вариантов, пользователи определили их полный список, блокировка которых в hosts признается Microsoft Defender, как угроза ОС в связи с «потенциально нежелательным поведением»:
- (www).microsoft.com;
- microsoft.com;
- telemetry.microsoft.com;
- wns.notify.windows.com.akadns.net;
- v10-win.vortex.data.microsoft.com.akadns.net;
- us.vortex-win.data.microsoft.com;
- us-v10.events.data.microsoft.com;
- urs.microsoft.com.nsatc.net;
- watson.telemetry.microsoft.com;
- watson.ppe.telemetry.microsoft.com;
- vsgallery.com;
- watson.live.com;
- watson.microsoft.com;
- telemetry.remoteapp.windowsazure.com;
- telemetry.urs.microsoft.com.
Файл hosts находится в директории C:\Windows\system32\driver\etc\. Чтобы его изменить, например, резолвить имена хостов в IP-адреса в обход Domain Name System (DNS) или для блокировки конкретных веб-сайтов путем «направления» их на 127.0.0.1 или 0.0.0.0, пользователь должен вносить изменения в этот файл с правами администратора. Аналогичные изменения файла hosts могут делаться с помощью вредоносного ПО, например, чтобы перенаправлять пользователя на поддельные веб-сайты.
anonymous
Будем на роутере блокировать.
artemlight
Не очень понятно как именно.
Да и блокировка телеметрии через вырезание зоны microsoft.com — это из пушки по воробьям. Слишком дохрена всего полезного отваливается.
Все эти дестрой-виндвс-спаи — это ерунда. Нужен системный хук, который запрещает инициировать tcp-соединения определенным сервисам. Чтобы браузер мог ходить на микрософт.ком, а сервис телеметрии — нет.
BobbieZi
google:// Pi-hole
bopoh13
Ещё в семёрке при блокировке ответа с некоторых адресов (могу даже неполный список поискать) отключалось сетевое подключение. Как обстоят дела в десятке?
Iv38
Не уверен, что мы говорим об одном и том же, но соединение не отключается, а помечается как "без доступа в интернет". А дальше некоторые программы действительно могут перестать работать, это зависит от того, как именно они получают доступ к сети.
1dNDN
Его даже изменять можно.
kma21
ну если на роутере, то может для телеметрии используются порты какие-то особенные. и можно лочить подключение к конкретному сайту по конкретному порту.
если на компе непосредственно, то вероятно софтварные файерволлы могут запретить конкретным приложениям доступ в интернет (весело будет, если кто-то сделает это через стандартный Windows файерволл)
Massacre
Фаервол приложений (типа Comodo) так и работает, вот только кто знает, что там решат ещё сделать, пустить телеметрию и прочее в обход фаерволов через ядро?
artemlight
Я ставил комод — так вот он был слишком тяжелый, да и на серверные окна не вставал.
Нужна крохотная безгуёвая тулза на С.
Сейчас сдам проект и займусь, если время будет…
Massacre
Там просто надо было без антивируса ставить — и всё было бы гораздо легче. Удачи в написании :)
Главное, реализовать ключевые фичи — отдельные разрешения на уровне приложений и мониторинг соединения этих приложений (список коннектов приложений в реальном времени).
А без GUI это будет не очень… Ни предупреждения о соединении в реальном времени, ни мониторинга.
artemlight
Дефендер неплохо работает, кстати.
Проактивка у него никакая, конечно, но от массового заражения бинарниками по почте оно спасает.
AH89
Оно конечно верно. Большинство заражений компьютеров пользователей происходит на уровне кликов файлов из почты, отправителями которых являются знакомые незнакомцы, либо кликов по ссылкам в браузере на малознакомых сайтах, что нередко приводит к срабатыванию зловредных джава-скриптов. Но и последнее легко предотвратить если начать пользоваться блокираторами джава-скриптов типа ScriptSafe, ScriptBlock, ну и конечно фильтрацией малварных DNS-доменов на уровене рутера или опять таки браузерных расширений типа Adguard.
dartraiden
JS-скрипты за пределы браузера не выберутся, современные браузеры давно имеют песочницы. Для пробития песочницы требуются эксплоиты. Если ПО своевременно обновляется, то шанс, что вас пробьют каким-нибудь 0-деем, плещутся в районе нуля (если атака не таргетированная, но это уже совсем отдельный разговор).
vladimir_yatselenko
Самая большая беда что он очень грузит периодами процессор и его никак не отключить.
BoreaAlex
Через политики очень даже отключается, правда, с каждым новым выпуском все замороченнее. Года два назад вовсе склепал .reg файлик, чтобы в два клика отключать навсегда, но с 1909 перестал работать.
RaphZak
А TinyWall не подойдет? Не совсем без гуя, но маленькая.
artemlight
хм, выглядит отлично.
TitovVN1974
опыт использования TinyWall — хороший
{Не программист, только вычислитель}
Irgen
Есть хоть и старый, ныне заброшенный, но тем не менее вполне рабочий Privatefirewall. Лёгкий, с гуем, немного неудобный в настройке, но тем не менее вполне хорош
manmaxun
Тогда сразу с постом на хабре, чтобы можно было себе прихватить тоже.
JTG
github.com/henrypp/simplewall (обёртка над виндовым файрволом)
bvvbvv
У Comodo IS заметил проблему. Службы MS даже при наличии запрета соединений на определенный IP адрес умудряются вести с этим адресом обмен.
zzzzzzzzzzzz
Есть софтина Windows Firewall Control, как раз это делает. Можно блокировать все приложения, кроме белого списка. Только иногда забываешь про неё и долго разбираешься, почему же какая-то программа не может к серверу подсоединиться.
Насчёт же файла hosts тоже проблема не особо велика — у меня дефендер его описанным образом испортил, но я добавил штатными средствами исключение, и всё ок. Единственно, он испортил молча (видимо, уведомление всплыло и уплыло), поэтому проблема тоже не сразу нашлась.
dartraiden
Весь смех в том, что Windows Firewall Control это просто GUI к штатному брандмауэру.
zzzzzzzzzzzz
А почему «смех»? Штатным брандмауэром вручную задолбаешься правила создавать, а с WFC это становится более-менее удобным и, как следствие, применимым в реальной жизни.
А вот радоваться внесению в исключения дефендера я поторопился. Вчера он «забыл» об этом и опять «исправил» файл. Внёс ещё раз, посмотрим, что будет дальше.
crackedmind
github.com/jthuraisamy/TelemetrySourcerer
AH89
На рутере обычно по IP блокируют, а блокировку по доменному имени не всякий рутер из стареньких моделек ещё и поддерживает. Домены ведь, как известно, иногда переезжают, меняя свой IP. Так что и список заблокированных IP в рутере придётся время от времени тогда обновлять тоже. С хост-файлом в Виндах в принципе ничего страшного, если просто дать в явном виде Разрешение на изменение. Зловредам через хост-файл едва ли интерес кого-то блокировать, даже если шутки ради это будет Майкрософт или Гугл.
ShadowTheAge
Зловреды через hosts отправляют на фишинговые страницы. Или на рекламо-помойку. С набором популярности https это стало сделать сложнее, но сказать что файл зловредам неинтересен нельзя
willyd
Если хватит привилегий заменить hosts, то и свой сертификат можно добавить.
DaemonGloom
Блокировку по доменному имени поддерживает даже антиквариат, если за разрешением имён по dns компьютер обращается именно к роутеру.
Если же нет — то это уже гораздо сложнее, да. Впрочем, Микротик позволяет фильтровать по доменам (и сам обновляет их адреса).
AH89
Включите тогда на рутере какую-нибудь пре-фильтрацию через Яндекс.DNS, либо установите Adguard, в котором тоже можно активировать DNS фильтрацию вместе со списком малварных DNS. И будет счастье.
a1ex322
подскажите, что там такого ценного передается? Из беглого гугления сложилось впечатление, что только версии ПО, но это я бы и сам расшарил, так как это первое что требуется, когда заводишь баг в любом трекере
dartraiden
Всё, что передаётся, вы можете посмотреть в настройках системы.
По моему опыту пользователи делятся на две категории:
— которые туда даже не заглядывали
— которые заглядывали, но не могут сказать, что именно из перечисленного там они бы не хотели отправлять
Я неоднократно наблюдал в чатике @winsiders попытки выведать у противников телеметрии конкретику по этому вопросу. Все (!) сливались, отделываясь общими фразами.
lanseg
А не имеет значения, просто не хотят и всё — этого должно быть достаточно, чтобы дать возможность отключать сбор данных.
К тому же, на системе это не отразится.
sumanai
Спасибо, не нужно.