@xl-tech25 окт 2017 в 12:49

Windows Defender удаляет bootloader от DiskCryptor

1 мин

16K

Антивирусная защита * Информационная безопасность * Системное администрирование *

Комментарии 28

@simplix 25 окт 2017 в 14:15

Microsoft Security Essentials с базами 1.255.60 тоже перезаписывает MBR. Альтернатива для Win8+ это BitLocker + TPM, всё что ниже нормальной бесплатной альтернативы DiskCryptor'у нет.

@turock 27 окт 2017 в 12:40

А никто не пробовал использовать MBRFilter для защиты MBR от перезаписи?

@Foggy4 25 окт 2017 в 15:32

На стенде провели тесты с зашифровкой загрузочного диска и выработали такую схему действий:
1. Антивирус удаляет загрузочную запись от DiskCryptor'а, обойти это никак не удалось. Исключения антивируса на загрузочный сектор поставить не получилось, раскарантинить удаленное тоже не дает. Придется отказаться от дисккриптора.
2. НЕ ПЕРЕЗАГРУЖАЯ ПК из системы запустить процесс дешифрации загрузочного диска.
3. После дешифрации загрузиться с установочного диска\флешки операционной системы, выбрать Repair your computer. Выбрать command promt.
Поочередно ввести команды:
Bootrec.exe /fixboot
Bootrec.exe /fixmbr
Bootrec.exe /rebuildbcd
Перейти в каталог загрузочного диска\флеш, выполнить
Bootsect /nt60 sys
После этого ПК загружается и можно приступить к установке альтернативного шифратора, например VeraCrypt.

@simplix 25 окт 2017 в 15:55

Как будто альтернативный шифратор не может отправиться туда же. Сейчас логичнее и быстрее временно удалить антивирус и восстановить загрузчик DiskCryptor'а. Удалять необходимо из-за того, что MBR добавить в исключения невозможно и антивирус перезаписывает MBR даже если выключен в настройках.

@aamonster 25 окт 2017 в 17:16

Странный подход. Не логичнее сменить антивирус? Возможно даже, через неделю сможете вернуться обратно.

@Foggy4 25 окт 2017 в 19:57

Речь идет о корпоративной среде. Поверьте, сменить антивирус не проще и не логичнее.

@devop-su 26 окт 2017 в 15:04

Но это же чистый false positive!

Держать такое поделие в корпоративной среде — это как испытывать качество патронов на патронном заводе,
стреляя себе в ногу — можно, если другого выхода нет,
но ЗАЧЕМ???!!!

@Foggy4 26 окт 2017 в 15:09

Справедливости ради это первый серьезный случай за несколько лет, я не думаю, что стоит драматизировать. У других антивирусов есть свои недостатки начиная от цены и заканчивая удобством управления.

@feyd12 25 окт 2017 в 18:18

Я бы, на Вашем месте, связался с разработчиком сабжа и сообщил о проблеме. Попросил бы сообщить в Microsoft о проблеме с легитимным ПО, либо сообщил сам. Это явная вынужденная мера с их стороны, но хоронить чужой проект по своей прихоти они не имеют права, тем более, что такое «лечение», с Ваших слов, убивает напрочь систему со всеми данными.

@alkoro 25 окт 2017 в 18:07

Когда комп тестовый или пустой — есть альтернатива в выборе между средствами шифрования или антивирусами. Но когда уже есть что терять, есть уже наработанные шифрованные носители и инфраструктура резервирования, проще заменить или удалить антивирус, чем перешифровывать (фактически раскрывать) конфиденциальные массивы, с ещё неизвестным наперёд результатом. Когда за антивирусом вылезает такой неустранимый исключением в настройках косяк, стоит задуматься о надёжности его эксплуатации.
Справедливости ради, стоит заметить, что за Касперским тоже был такой грешок — однажды он тоже удалял bootloader от DiskCryptor, но даже тогда можно было сделать исключение как по объекту, так и по имени детекта(вируса). Длилось это в течении одного-двух циклов обновлений.

@Foggy4 25 окт 2017 в 20:03

Я бы не сказал, что смена антивируса, когда он развернут на сотнях машин это легкое дело. Менять его на каких-то конкретных машинах где используется шифрация — тоже вариант сомнительный, не хочется зоопарк разводить. Да к тому же дисккриптор не обновлялся с 2014 года, видимо проект заброшен, так что это хороший повод перейти на нечто более поддерживаемое :)

@alkoro 26 окт 2017 в 04:14

Если сравнивать конкретно ваши цифры — сотни машин, то шифрование там поменять наверное куда более тяжёлое и долгое(самое главное) дело, чем смена антивируса. Я не вижу повода переходить на что-то другое из-за принципа: работает — не трогай. DC будет, пока живы ОС, в которых он пока как-то работает.

@MUTbKA98 26 окт 2017 в 06:27

В некоторых BIOS'ах можно (было?) защищать MBR аппаратно. Поможет?

НЛО прилетело и опубликовало эту надпись здесь

@tzlom 26 окт 2017 в 09:20

Странно что бутлоадер винды не стирает, у меня есть информация что Ransomware очень часто использует Windows для работы

@simplix 26 окт 2017 в 11:27

Ночью связался с производителем, в новых базах проблема решена.

@ReakTiVe-007 26 окт 2017 в 15:04

Но осадочек как говорится остался.

@scruff 27 окт 2017 в 08:45

А в чём может быть преемущества у DiskCryptor-a перед встроенным виндовым Bitlocker-ом?

@simplix 27 окт 2017 в 09:24

BitLocker далеко не во всех редакциях присутствует, для WinXP-7 DiskCryptor подходит идеально. Из очевидного — у DiskCryptor открытый код, высокая скорость работы и удобство.

@scruff 27 окт 2017 в 09:49

Речь идёт, разумеется, о production-е. Начиная с win8, bitlocker доступен в PRO-версии. Win7/XP (pro) в рознице уже точно не найти.

@scruff 27 окт 2017 в 09:53

Для рядового пользователя Bitlocker проще в работе, и интуитивно понятнее, на мой взляд. Раздел шифруется буквально в 3 клика без установки стороннего софта.

@Frankenstine 29 окт 2017 в 14:06

Bitlocker на Win7 не работает без аппаратного ТРМ модуля или USB ключа, а DiskCryptor элементарно работает без дополнительных приблуд, по паролю. Иногда это существенно.

@volk0ff 29 окт 2017 в 18:33

Подскажите, как решить проблему, если комп перегрузил и зарузиться не получается? МОжно как то с live-cd расшифровать все хотя бы?
Спасибо

@simplix 29 окт 2017 в 18:37

Расшифровывать не нужно, добавьте в WinPE драйвер DiskCryptor'а по инструкции и заново установите загрузчик.

@volk0ff 29 окт 2017 в 18:40

Спасибо, щас буду пробовать?
то есть по сути нужна всего лишь флешка, помнить пароль и инструкция из разздела win10
diskcryptor.net/wiki/LiveCD/ru#Windows_10 ??

Имеется в виду, это ж можно сделать на одной машине, чтоб пофиксить другую?

@volk0ff 29 окт 2017 в 18:47

И как собственно потом эту флешку юзать? Нужна какая то комманда для запуска, или просто с нее загрузиться?

@simplix 29 окт 2017 в 22:22

После загрузки с этой флешки (с активным драйвером DiskCryptor'а) выбираете в меню Tools — Config Bootloader — HDD — Install Loader.

@volk0ff 30 окт 2017 в 08:32

Благодарю

Зарегистрируйтесь на Хабре, чтобы оставить комментарий