Обнаружена ошибка, приводящая к потере данных с диска при открытии файлов в Windows

Новости МирТесен

Специалисты в области информационной безопасности выявили серьезную особенность операционной системы Windows 10. Встроенный драйвер файловой системы NTFS при определенных обстоятельствах демонстрирует крайне негативное поведение, приводящее к критическому повреждению главной таблице файлов MFT. Инициировать подобное состояние можно различными методами: начиная от создания специально разработанной веб-страницы и заканчивая передачей изображений, файлов и документов получателю.

Проблема заключается в том, что даже пользователь с минимальными правами, например, неавторизованный посетитель, может вызвать появление ошибки. Возможные последствия весьма разнообразны. В ходе большинства экспериментов, направленных на изучение данной уязвимости, операционная система успешно перезагружается, устраняет ошибки на диске и затем функционирует без сбоев. Однако, по причинам, которые пока не установлены, в некоторых случаях после перезагрузки система сообщает о критической ошибке и прекращает работу. Корректировка этой ситуации представляет собой сложную задачу и требует использования сторонних инструментов для восстановления MFT.

Причины этого явления установить сложно, однако специалисты зафиксировали, что оно является следствием нетипичной работы системного драйвера NTFS на определенные символы в пути к файлу. Компания Microsoft, которая, в свою очередь, пока не предоставила подробностей, ограничившись обещанием оперативно устранить проблему. О вновь обнаруженной уязвимости Windows 10 первым сообщил специалист по информационной безопасности под псевдонимом Jonas L. Его находку подтвердил Уилл Дорманн (Will Dormann), аналитик Координационного центра Компьютерной группы реагирования на инциденты ( CERT/CC), базирующейся в университете Карнеги-Меллона.

Как это работает

Для воспроизведения ошибки достаточно инициировать обращение к файлу, чье имя содержит определенный служебный атрибут и последовательность символов. $i30 и несколько определенных символов после него. Самого файла в указанной области диска может и не существовать, проблема возникает, когда драйвер обрабатывает это специфическое обращение. Атрибут $i30 переадресовывает запрос в индекс NTFS, в этом разделе содержится информация о местоположении всех файлов на диске и их характеристиках. По соображениям безопасности мы не будем указывать конкретные параметры, следующие за атрибутом, которые приводят к ошибкам.

После получения такого сообщения операционная система (ОС) сразу же уведомляет о наличии ошибок на диске, требующих немедленного устранения. Для этого необходимо перезагрузить устройство и запустить стандартную программу проверки диска chkdsk. Несмотря на то что в большинстве случаев восстановление файловой системы проходит успешно и Windowsпродолжает функционировать без сбоев, однако проведение экспериментов с данной уязвимостью на основном рабочем компьютере крайне нежелательно.

Дорманн и Jonas L получили множество комментариев от коллег и простых энтузиастов — те проверили уязвимость на виртуальных машинах или доступных устройствах. Результаты сильно отличались, самые пугающие включали в себя полную потерю способности ОС загрузиться даже в безопасном режиме. Восстановление данных в таком случае превращается в довольно непростую задачу.

В чем опасность

Для активации данной ошибки не требуются какие-либо преднамеренные действия со стороны пользователя, поскольку система регулярно осуществляет фоновые операции с файлами. Например, злоумышленник может создать документ, в котором вместо стандартной иконки указано стороннее изображение, содержащее проблемную комбинацию символов. Даже при сохранении такого документа на компьютер пользователь может повредить свою файловую систему, поскольку операционная система пытается запросить нестандартную иконку.

Обнаруженная уязвимость драйвера демонстрируется лишь на этом примере NTFS. На практике, активация этой функции может быть замаскирована в различных местах: в архивных файлах, служебной документации, графических изображениях, гиперссылках на удаленные дисковые ресурсы и даже на интернет-страницах. Не существует каких-либо особых защитных мер. Эксперты рекомендуют воздерживаться от открытия файлов из непроверенных источников и регулярно создавать резервные копии ценных данных на внешние носители информации.

Первоначально Дорманн определил, что дефект проявляется исключительно в версии Windows 10. Это могло бы успокоить тех, кто не склонен к регулярным обновлениям программного обеспечения, однако это лишь иллюзия безопасности и скорее исключение из общего правила. Впоследствии коллеги Уилла смогли воспроизвести аналогичное повреждение файловой системы на любой операционной системе, использующей NTFS по умолчанию. Даже на Windows XP. Оценить сроки устранения уязвимости затруднительно, можно лишь надеяться, что она не затрагивает базовую архитектуру широко используемого продукта Microsoft.