Windows neden rastgele uygulamaları tehdit olarak tanımlar?

Bazı Windows PC sahipleri bu hafta başında uyandıklarında bilgisayarlarının aniden Windows Defender'ı WinRing0 adlı yeni bir "HackTool" hakkında uyaran spam mesajları aldığını gördüler. Bu uyarılar elbette endişe verici, ancak bilgisayarınızın henüz saldırı altında olma ihtimali düşük. Ancak bu, uyarıları görmezden gelmeniz gerektiği anlamına gelmiyor.

WinRing0 neden Windows Defender'ı etkinleştirmeye başladı

Bu tür rastgele uyarıların sorunu, tehdidin ne olduğu veya Defender'ın bunu neden bir tehdit olarak gördüğünün her zaman net olmamasıdır. WinRing0 durumunda, bu durum daha önce tehlikeli bir kötü amaçlı yazılımla ilişkilendirilen çekirdek düzeyindeki yazılımdaki bir açıktan kaynaklanıyordu (BleepingComputer'ın bildirdiği gibi).

Temel olarak, çekirdek düzeyinde erişime sahip olmak, WinRing0'ın işletim sisteminin çekirdek bileşenlerine ve kaynaklarına erişebilmesi anlamına gelir. Yazılımın bir şekilde istismar edilebilmesi durumunda bu tehlikeli bir kumar ve WinRing0'ın SteelFox kötü amaçlı yazılımının nasıl çalıştığı ve enfekte sistemlere nasıl eriştiğinin arkasındaki ana itici güç olduğu anlaşılıyor .

Windows PC'nizin güvenliğini Defender ile güçlendirmek için çaba sarf etseniz bile, SteelFox gibi kötü amaçlı yazılımlar, WinRing0'da bulunan güvenlik açığını kullanarak korumalarınızı aşabilir.

WinRing0 gibi yazılımlarla ilgili bir diğer büyük sorun da, birçok farklı yazılımın içine girme eğiliminde olmasıdır. The Verge'in bildirdiğine göre bu son Windows Defender uyarısı, birkaç yıl önce bahsi geçen Fan Control de dahil olmak üzere yaygın olarak kullanılan bir dizi PC fan kontrol uygulamasının bir parçası.

Windows Defender'ın ayrıca Libre Hardware Monitor, MSI Afterburner , SteelSeries Engine, Razer Synapse, OmenMon vb. dahil olmak üzere başka üçüncü taraf izleme yazılımları yüklüyse uyarıyı tetiklediği görülüyor.

Bu şaşırtıcı değil.

Bunun Afterburner ve Fan Control gibi izleme yazılımları üzerindeki genel etkisi açıktır. Microsoft gelecekte bu uygulamaların düşük seviyeli izinlere erişebilmesi için bir yol sağlamadığı sürece, bunlardan herhangi birini yükleyip kullanarak büyük bir güvenlik riski almış olursunuz.

Ancak bu hareket tamamen beklenmedik değil. Geçtiğimiz yıl yaşanan büyük CrowdStrike olayı, sağlık sektörüne odaklanan bazı şirketler de dahil olmak üzere birçok şirket için korkunç sonuçlar doğurdu. O olaydan bu yana Microsoft, WinRing0'ın çekirdek düzeyindeki ayrıcalıklara erişmek için kullandığı gibi, var olmaması gereken güvenlik açıklarını kapatmak konusunda büyük baskı altında.

Microsoft'un WinRing0 sorununu çözmek için neden bu kadar uzun süre beklediği belirsiz. Ancak bu, onu kullanan yazılımın tamamen işe yaramaz olduğu anlamına gelmiyor. İsterseniz bunları kullanmaya devam edebilirsiniz. Ancak bunu yaparak sisteminizi riske atma olasılığınız çok yüksektir.

Çözümü var maalesef ama başarı şansı çok düşük. GitHub'daki yorumlara göre WinRing0'da bulunan güvenlik açığı kapatıldı. Ancak Microsoft'un bu sürümü onaylayıp imzalaması pek olası görünmüyor, çünkü bu sürümün arkasındaki açık kaynak topluluğu Microsoft'un son sürümü imzalamasını sağlayacak güce sahip olduğuna inanmıyor. Microsoft imzası olmadan onu Windows sisteminize kuramazsınız.

Diğer tek alternatif ise bu uygulama geliştiricilerinin her birinin çekirdek düzeyindeki izinlere erişmek için kendi yazılımlarını oluşturmasıdır. Ancak bu, birçoğunun karşılayamayacağı kadar pahalı bir girişimdir. Bunu yapsalar bile, yazılım kullanıcıları için yazılım satın alımları yoluyla ek maliyetlere yol açması muhtemeldir.

Yukarıda belirtilen izleme yazılımlarından herhangi birini kullanıyorsanız veya Windows Defender'ın sisteminizde WinRing0 konusunda sizi uyardığını görüyorsanız, şimdilik endişelenecek bir şey yoktur. Ancak, özellikle çekirdek düzeyinde erişimi olan bu tür yazılımlar söz konusu olduğunda, tedbirli olmakta fayda vardır.