Questão FC96539
Julgue o item seguinte, a respeito da análise de artefatos maliciosos. Situação hipotética: Na realização de um monitoramento com a utilização do Internet Explorer, observou-se que
Ameaças aos Sistemas Computacionais
CEBRASPE (CESPE) · 2018
Situação hipotética: Na realização de um monitoramento com a utilização do Internet Explorer, observou-se que:
I ao iniciar uma sessão em determinado sítio, um processo no sistema operacional foi iniciado, faltando uma DLL para a aplicação X;
II o processo ligado à sessão foi iniciado na pasta c:\xyz\;
III ainda com a sessão ativa, observou-se que a DLL foicarregada a partir da pasta c:\xyz\ e a sessão foi interrompida;
IV no reinício do sistema operacional, a aplicação X foi carregada com a DLL em %SystemRoot%/System32, a mesma que se encontrava na pasta c:\xyz\.
Assertiva: A situação hipotética descreve um ataque DLL hijacking de acordo com III e IV, principalmente pela interrupção, entretanto, é descaracterizado, pois vai de encontro ao que foi descrito em I e II, porque a DLL precisa estar presente antes do início da sessão e, se foi carregada em %SystemRoot%/System32, é confiável e imune a ataques desse tipo.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
Comentário: A afirmativa está errada porque, no ataque de DLL hijacking, a DLL maliciosa pode ser carregada em vez da DLL legítima, mesmo que a aplicação tenha sido iniciada antes da DLL estar presente no diretório correto. A presença da DLL em %SystemRoot%/System32 não a torna automaticamente confiável, pois o ataque pode manipular a ordem de carregamento das DLLs. Assim, a situação descrita em III e IV caracteriza, sim, um ataque DLL hijacking, pois a DLL foi carregada a partir de um local não esperado, comprometendo a segurança da aplicação.
Conteúdo do catálogo FC Concursos · Atualizado em