Aspettando la nuova release di EMET (Exploit prevention)

[nV 25]

E' attesa nel corso della settimana la nuova versione che dovrebbe portare con se anche la tanto attesa compatibilità con 8.

Aspettiamo dunque pazienti...


Le novità saranno comunicate qui, http://blogs.technet.com/b/srd/

[nV 25]

ok, lo aspetto solo io...


Meglio pochi ma buoni, l'ho sempre detto...

[nV 25]

vi immaginate come rimarrei se, dopo tutte queste elucubrazioni, mancasse per qualche motivo il supporto ad 8?

[Romagnolo1973]

Originariamente inviato da nV 25

vi immaginate come rimarrei se, dopo tutte queste elucubrazioni, mancasse per qualche motivo il supporto ad 8?

gli manderesti così tanti improperi che Redmond sparisce dalla faccia della Terra
Comunque il fatto che per fare un programma funzionante su 8 pienamente ci mettano 8 mesi la dice lunga sulla "attenzione" che hanno per la sicurezza degli utenti esperti che è pari a zero

[nV 25]

improperi e basta?

Parlerei più di oscurare il cielo...


Al di là di questo, non ho capito il riferimento agli utenti esperti.

Che poi noi si sia più sensibili al tema & meno nabbi di altri c'entra relativamente perchè EMET (IMO) nasce (cosi' come ExploitShield) per essere svincolato dal grado di preparazione dell'utenza (tradotto, fa bene su tutti i sistemi e non richiede conoscenze aggiuntive perchè "sprigioni" i propri benefici)...

[Romagnolo1973]

io ho provato a mettere EMET ad un utente medio e i risultati sono stati fallimentari, ogni aggiornamento di un programma controllato da emet era decisamente problematico. Pure io ho avuto non poche difficoltà, dovevo sempre ricordare se quel programma lo avevo messo in emet o no prima di poterlo aggiornare. Non è decisamente un programma per tutti e quelli di M$ lo sanno e infatti lo lasciano lì mesi senza risolvere i problemi che ha, tanto lo usano in pochi

[nV 25]

ne devo prendere atto anche se in verità i problemi che dici di aver riscontrato non trovano conferma dalla mia esperienza.

E anzi, non vedo in che modo EMET potesse dare fastidio con l'aggiornamento dei programmi emetizzati (Chrome, VLC,...)

[Romagnolo1973]

Originariamente inviato da nV 25

ne devo prendere atto anche se in verità i problemi che dici di aver riscontrato non trovano conferma dalla mia esperienza.

E anzi, non vedo in che modo EMET potesse dare fastidio con l'aggiornamento dei programmi emetizzati (Chrome, VLC,...)

Java e Flash erano i problemi più ricorrenti visto che per motivi debolezze loro andavano aggiornati ogni settimana Se Emetizzati non si disinstallavano correttamente col loro installer (che fa la disinstallazione automatica della versione precedente) e quando pulivi a mano per mettere la nuova versione dava errori strani, sono ricorso alle immagini precedenti che per fortuna faccio sempre, ma non una bella esperienza. Comunque visto che sono su 8 da 2 anni e mezzo tra beta e definitiva magari con le nuove versioni di emet, quando saranno funzionanti, questi inconvenienti non si verificheranno più.
Comunque io con emet ho già dato e per riutilizzarlo devono renderlo più elastico e meno esoso di ram, e anche così mi sa che lo lascio a te

[pcpassion]

Io java per sicurezza non l'ho installato nemmeno su linux e flash player non mi sono mai posto il problema essendo integrato in chrome che è l'unico browser che uso
Per il resto chrome, sumatra, vlc, thunderbird , skype e c. quando li aggiorno non mi creano problemi su 7......rimane quella famosa incompatibilità della protezione rop con Comodo che blocca la pulizia automatica di sandboxie che non so se hanno risolto con la V6 perchè non ho ancora provato...boh

[nV 25]

Introducing EMET v4 Beta

[nV 25]

...installato su sistema reale...e va da Dio!


Ho trovato un micro-bug (quisquiglie cmq)...


Inoltre, cliccate sul pulsante "Configure Apps"-->opzioni....

[nV 25]

il micro-bug:

in un account standard con EMET Agent regolarmente in funzione, provando da tray icon ad aprire il programma si riceve un pop-up che informa che (appunto) l'elemento EMET Agent non stà girando quando invece non è cosi', e difatti si apre regolarmente la schermata principale del programma...

Già segnalato con un bel video

[nV 25]

ho trovato casualmente una inconguenza (già segnalata) ma preferisco non dire altro su questo capitolo perchè rischio di creare più confusione che altro.


Cmq globalmente mi sento di dire che il programma viaggia molto bene.

[nV 25]

Originariamente inviato da nV 25

Introducing EMET v4 Beta

... e in italiano,

http://blogs.technet.com/b/gerardo_d...et-4-beta.aspx

Ora xò vado a nanna...

[Chill-Out]

Corre voce che sia già stato bypassato

[nV 25]

Originariamente inviato da Chill-Out

Corre voce che sia già stato bypassato

e indicarla cosi' che possa leggere anch'io?

[nV 25]

va beh, ne approfitto per dire che i (micro) bug che ho riscontrato sono stati riprodotti e verranno risolti nella versione finale.

Proprio perchè il prodotto appare già estremamente maturo, invito quelli un pochino più fissati a installare la beta senza paura sul proprio sistema.

nV

[eraser]

Originariamente inviato da nV 25

Introducing EMET v4 Beta

We have seen exploits attempt to evade EMET hooks by executing a copy of the hooked function prologue and then jumping to the function past the prologue

http://www.saferbytes.it/2012/10/08/...ploit-attacks/

so the attacker can actually get around the hook by writing its own API stub and then jump to the original APIs right after the placed hook.

[nV 25]

voglio sperare che il discorso dell'Anti-Detours (perchè ho appreso dal loro blog che il meccanismo di cui parli porta quel nome... ) lo sapessero bene anche loro ma semplicemente non erano riusciti a implementarlo per un discorso di mancanza di una strategia adeguata tesa ad affrontare il problema...o perchè no, anche per un discorso di mera mancanza di forza lavoro (perchè da quello che ho capito, infatti, il team si è allargato nell'intervallo di tempo tra la 3.5 TP e la 4).

Cmq alla fine della fiera è importante essere arrivati al risultato (anche se con mooolta calma)...

[nV 25]

in qualità di collector di fonti per eraser/aall86/...*, questo lavoro è quasi sicuramente quello cui si riferisce l'EMET Team quando parla della tecnologia "banned API" che contrasta il bypass di ASLR + DEP via routine ntdll!LdrHotPatch (scheda 15,16,17..)



Arrivo dopo la banda, lo so



* dove i puntini stanno in realtà per pochi altri..