Como o GWX se instalou quando lhe foi negada permissão?

Question

Isso está relacionado a Como um Blacklist é um patch baseado no número KB / Knowledge Based? e Como adicionar um Deny ACE para TrustedInstaller? .

O malware Obter o Windows X retornou (novamente) em duas máquinas com Windows 7 e com a máquina com Windows 8. Eu já o removi 5 vezes ou mais (por máquina). Após a última remoção, pré-criei a pasta na qual ele se instala e, em seguida, coloquei um DENY ACE para ambos SYSTEM e TrustedInstaller . De acordo com a documentação da Microsof, isso deveria impedi-lo de instalar e executar.

Como o malware se instalou, pois foi negado o acesso?

Isso é absolutamente incrível ... A máquina ficou desligada por cerca de 6 semanas, então eu tive que executar dois ciclos de atualização / reinicialização. O malware se instalou duas vezes em um dia, mesmo que seja negado o acesso à pasta!

O segundo ciclo de atualização / reinicialização foi para KB3102429 . Observe que ele alega resolver problemas no Windows - ele não declara seu malware de marketing ou malware.

    

Answer 1

A conta SYSTEM tem SeRestorePrivilege , que concede a ele o direito de gravar nos dados ou ACL de qualquer objeto que possa ser protegido. (Mais ou menos como administradores elevados podem passar por ACLs usando a guia Segurança das Propriedades do objeto.) Esses poderes também podem ser usados pelo SYSTEM nas atualizações da Diretiva de Grupo.

Como um complemento, a atualização responsável por sua dor é, na verdade, KB3035583 . Você pode tentar identificar qual atualização é responsável por um determinado arquivo pesquisando o Google por site:support.microsoft.com seguido pelo nome do arquivo, já que os artigos da atualização de KB sempre têm tabelas de arquivos atualizados.

    

Answer 2

Eu tive muito sucesso (até hoje) de esconder a atualização recomendada KB3035583. Por alguma razão, eu permiti que o windows atualizasse para algumas atualizações de instalação "recomendadas" no final de semana e ele parece ter se mostrado e instalado de qualquer maneira! Sneaky " @% & # 's Aliás, não estava na lista de atualizações recomendadas!

EDITAR Parece ser uma "atualização importante" agora e não é recomendado !!!! Senhor Ubuntu me salve !!!!