Windows 10 zignoruje wiele antywirusów, nie wyłączy dla nich Defendera
Microsoft rozpieścił nas zeszłotygodniowym wydaniem Windows10 build 17666 dla członków programu Windows Insider w szybkimpierścieniu aktualizacji. Przyniosło ono nam zaskakująco wieleciekawych nowości, w tym chmurowy schowek, ciemny motyw dlaEksploratora i sporo ulepszeń w menu Start. Nowe wydanie dlainsiderów, build 17672, już takie widowiskowe nie jest, aleprzynosi jedną znaczącą zmianę dla bezpieczeństwa systemuMicrosoftu.
17.05.2018 12:31
Od tej pory usługa Windows Security Center, aby zarejestrowaćantywirusa, wymaga od niego by uruchamiał się jako proceschroniony. Te antywirusy, które nie będą w ten sposób działały,po prostu nie zostaną wyświetlone w interfejsie użytkownikaCentrum Bezpieczeństwa. Oznacza to też, że Windows Defender będziedalej działał obok nich, być może zakłócając ich pracę, byćmoże oferując dodatkową warstwę ochrony.
Procesy chronione to nic nowego. Zadebiutowały po raz pierwszy wWindows Vista, a w pełni zostały wykorzystane w kernelu Windowsa8.1, mając służyć ochronie kluczowych komponentów systemowych.Ten rozszerzony model bezpieczeństwa przeniósł wcześniejstosowane zabezpieczenia dla niektórych procesów, takich jakodtwarzanie treści DRM, na wszelkie inne procesy: chodziło o to,aby producenci oprogramowania ochronnego również mogli z tegokorzystać.
mimikatz & Protected Processes
Obsługiwane jest to poprzez specjalny sterownik ELAM, oczywiściezawierający ważny certyfikat, oraz zasoby pozwalające narejestrację usługi. Dopiero później program antywirusowy może zapomocą tych zasobów zarejestrować się w Windowsie jako dostawcabezpieczeństwa poprzez specjalne API systemu. Od tej pory działa onjako chroniony proces, kernel pilnuje, by nic z zewnątrz nie zostałodo niego wstrzyknięte, a pamięć wirtualna była niedostępna dlainnych procesów.
Póki co, wprowadzone w Windowsie 10 build 17672 wymuszeniestosowania procesów chronionych dla oprogramowania antywirusowegomożna wyłączyć, wprowadzając do Rejestru kluczHKLM\SOFTWARE\Microsoft\Security Center\FeatureDisableAvCheck (DWORD)= 1. Jednak nie liczcie na to, że klucz ten na zawsze będzieobsługiwany. Zniknie z systemu jeszcze przed wydaniem finalnejwersji Redstone 5, czyli jesiennej aktualizacji Windowsa 10. Do tegoczasu producenci oprogramowania antywirusowego będą musieli sięprzystosować do wymogów Microsoftu.
Pozostałe zmiany w tym buildzie to przede wszystkim poprawki.Przede wszystkim naprawiono zachowanie Windows Update, którezawieszało się u wielu użytkowników w trakcie uaktualnienia dobuildu 17666. Tym razem wszystko idzie gładko. Naprawiono teżzdarzające się regularnie zawieszenia pulpitu (explorer.exe),kopiowanie tekstu w Microsoft Edge, maksymalizowanie okien aplikacji,znikanie powiadomień Centrum Akcji dwupalcowym gestem i wybudzanie zuśpienia na niektórych urządzeniach.
W mechanizmie linii czasu (Timeline) dodano zaś możliwośćprzełączania pomiędzy kartami powiązanymi z określonąaktywnością Sets, dodano możliwość skalowania wydruku dokumentówPDF z Microsoft Edge, i poprawiono jakość nagrań dźwięku w paskugier (Win+G).
Jest też ciekawostka dla fanów Linuksa: jeśli aktywowaliWindows Subsystem for Linux, to przez Eksploratora będą mogli zmenu kontekstowego wywołać otwarcie powłoki bash we wskazanejlokalizacji. W tym celu należy przy kliknięciu prawym przyciskiemmyszy przytrzymać Shift.
Do wersji finalnej Redstone 5 zostało jeszcze oczywiście sporodo zrobienia, lista usterek liczy obecnie kilkanaście pozycji,widać, że trwają intensywne prace nad powiązaniem aplikacji win32z funkcjonalnością Sets. Póki co jednak – jest całkiem dobrze,nowy Windows 10 sprawia wrażenie znacznie lepsze, niż w dniupremiery swojej pierwszej wersji. Można powiedzieć, że wreszciesię staje tym, czym powinien być od początku.
