Microsoft выпустила EMET 5.5 beta [1,2,3,4,5]. Новая версия EMET получила поддержку Windows 10, а также новую security feature. Речь идет о новом механизме противодействия эксплуатации под названием «Block Untrusted Fonts», которая блокирует загрузку в память посторонних файлов шрифтов. Подобные специальным образом сформированные TTF-файлы используются эксплойтами для срабатывания уязвимостей в драйвере win32k.sys, что используется атакующими для обхода механизма sandbox современных веб-браузеров с последующим получением максимальных прав SYSTEM в системе.
![](https://habrastorage.org/r/w1560/files/f4b/946/533/f4b946533dc646e5b4d0044a3741ed41.png)
EMET не является инструментом типа HIPS и не позволяет пользователям защищать систему от таких операций как внедрение в процессы постороннего кода или прямое блокирование выполнения различных системных операций. Вместо этого, его функции безопасности направлены на блокирование действий Remote Code Execution (RCE) эксплойтов, которые являются самым начальным звеном в цепи действий киберпреступников по автоматической доставке и исполнению вредоносного кода в системе пользователя (drive-by download).
![](https://habrastorage.org/r/w1560/files/742/72d/ec9/74272dec922f43d6b78bd812d1a68e44.png)
Рис. Интерфейс EMET 5.5 beta.
На самом деле функция «Block Untrusted Fonts» является встроенной security feature, которая появилась в Windows 10 и относится к набору т. н. exploit mitigation функций. Для активации функции в ОС для процесса может использоваться API-функция SetProcessMitigationPolicy с аргументом ProcessFontDisablePolicy (библиотека kernel32.dll). Функцию можно включить и для всей системы, т. е. всех процессов (по умолчанию выключено), для этого используется раздел реестра HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Kernel\ и параметр MitigationOptions, более подробно см. Block untrusted fonts in an enterprise.
![](https://habrastorage.org/r/w1560/files/ab6/efb/014/ab6efb0148e743c6b6a8563052103dae.png)
Рис. Функцию «Block Untrusted Fonts» можно активировать для выбранного приложения.
Загрузить EMET можно по этой ссылке.
![image](https://habrastorage.org/r/w780q1/getpro/habr/post_images/630/ea0/2ba/630ea02babba6a158419be2f5f5bc392.jpg)
be secure.
![](https://habrastorage.org/files/f4b/946/533/f4b946533dc646e5b4d0044a3741ed41.png)
EMET не является инструментом типа HIPS и не позволяет пользователям защищать систему от таких операций как внедрение в процессы постороннего кода или прямое блокирование выполнения различных системных операций. Вместо этого, его функции безопасности направлены на блокирование действий Remote Code Execution (RCE) эксплойтов, которые являются самым начальным звеном в цепи действий киберпреступников по автоматической доставке и исполнению вредоносного кода в системе пользователя (drive-by download).
![](https://habrastorage.org/files/742/72d/ec9/74272dec922f43d6b78bd812d1a68e44.png)
Рис. Интерфейс EMET 5.5 beta.
На самом деле функция «Block Untrusted Fonts» является встроенной security feature, которая появилась в Windows 10 и относится к набору т. н. exploit mitigation функций. Для активации функции в ОС для процесса может использоваться API-функция SetProcessMitigationPolicy с аргументом ProcessFontDisablePolicy (библиотека kernel32.dll). Функцию можно включить и для всей системы, т. е. всех процессов (по умолчанию выключено), для этого используется раздел реестра HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Kernel\ и параметр MitigationOptions, более подробно см. Block untrusted fonts in an enterprise.
![](https://habrastorage.org/files/ab6/efb/014/ab6efb0148e743c6b6a8563052103dae.png)
Рис. Функцию «Block Untrusted Fonts» можно активировать для выбранного приложения.
Загрузить EMET можно по этой ссылке.
![image](https://habrastorage.org/getpro/habr/post_images/630/ea0/2ba/630ea02babba6a158419be2f5f5bc392.jpg)
be secure.