Уязвимость Windows: как временно защитить ПК от вредоносных OTF-файлов

Кратко: Уязвимость в библиотеке Adobe Type Manager позволяет заразиться просто при предварительном просмотре файла в Проводнике. Microsoft выпустила исправление 14 апреля 2020 года — пока нет обновления, отключите панели предварительного просмотра и сведений в Проводнике.

Quick Links

• What You Need to Know

• How to Protect Your PC

Что нужно знать

Microsoft объявила об уязвимости 23 марта 2020 года. Эта проблема связана с библиотекой Adobe Type Manager (ATM) и затрагивает обработку OTF-шрифтов. По данным Microsoft, существуют «ограниченные прицельные атаки», которые используют уязвимость: злоумышленник может заставить пользователя открыть специально сформированный документ или просто просмотреть его в панели предварительного просмотра Windows.

Уязвимость затрагивает поддерживаемые версии Windows: Windows 10, Windows 8.1, Windows 8, Windows 7 и разные редакции Windows Server. Для Windows 7 без расширенной поддержки обновления безопасности могут быть недоступны — в этом случае временная мера останется актуальной на постоянной основе.

Обновление: Microsoft выпустила исправления 14 апреля 2020 года в составе ежемесячных патчей. Установите обновления Windows, чтобы устранить проблему окончательно.

Факты:

• Обнаружена: 23 марта 2020
• Исправлена: 14 апреля 2020 (обновления Microsoft)
• Затрагиваемые компоненты: Adobe Type Manager / обработка OTF-файлов
• Затрагиваемые ОС: Windows 7, 8, 8.1, 10 и Server (в активном использовании)

Важно: пока обновление не установлено, опасность — именно просмотр OTF-файлов в Проводнике. Открытие самого файла программой остаётся рискованным независимо от панели предварительного просмотра.

Как защитить ваш ПК — пошагово

Краткая идея: отключите автоматическую генерацию предварительного просмотра и миниатюр, чтобы предотвратить автоматическую загрузку OTF при просмотре каталогов.

1. Откройте Проводник (File Explorer).
2. На ленте выберите вкладку “Вид”. (В английской локали — “View”.)
3. В секции Панели (Panes) отключите опции “Область предварительного просмотра” и “Область сведений” (“Preview pane” и “Details pane”). Нажмите соответствующие кнопки, чтобы переключить их в состояние выкл.

4. В правой части ленты нажмите на значок “Параметры” (Options). Если появится меню, выберите “Изменить параметры папок и поиска” (Change folder and search options).

5. Перейдите на вкладку “Вид”. В блоке “Дополнительные параметры” найдите и включите опцию «Всегда отображать значки, а не эскизы» (Always show icons, never thumbnails).
6. Нажмите “OK”, чтобы сохранить изменения. Закройте все окна Проводника или перезагрузите компьютер, чтобы изменения точно вступили в силу.

Для Windows 7 аналогичные параметры находятся в другом месте:

• В Проводнике нажмите Organize > Layout и в меню отключите Область сведений и Область предварительного просмотра.
• Затем выберите Organize > Folder and search options, перейдите на вкладку “View” и включите “Always show icons, never thumbnails”.

После установки официального исправления от Microsoft вы можете снова включить панели предварительного просмотра и эскизы. На Windows 7 без официальных обновлений рекомендуется оставить эти опции отключёнными постоянно.

Дополнительные и альтернативные меры

• Установите все накопительные обновления Windows и сигнатуры антивируса; это минимизирует риск эксплойтов, использующих другие векторные пути.
• Не открывайте вложения и документы из ненадёжных источников. Пересылайте подозрительные файлы в песочницу или на изолированную виртуальную машину для анализа.
• В организациях можно настроить групповые политики (GPO) для запрета загрузки OTF/TTF-файлов в определённые каталоги или использовать фильтры на шлюзе/антималваре для блокировки опасных файлов.
• Настройте права доступа так, чтобы обычные пользователи не могли устанавливать шрифты из непроверенных мест.

Когда эти меры не помогут:

• Если пользователь вручную открыл заражённый файл в программе с правами, достаточными для выполнения кода, отключение панели предварительного просмотра не защитит от такой операции.
• Если система уже скомпрометирована и у злоумышленника есть доступ администратора, эти временные меры бессильны — требуется инцидент-ответ и восстановление из резервных копий.

Контроль и проверка (Критерии приёмки)

• Панели “Область предварительного просмотра” и “Область сведений” отключены в Проводнике.
• В настройках папок включена опция «Всегда отображать значки, а не эскизы».
• Система получила обновления безопасности после 14 апреля 2020 г. (через Windows Update).
• При наведении курсора на OTF/шрифт в Проводнике миниатюры не загружаются и не отображаются превью.

Проверьте: откройте каталог с OTF-файлами — если Проводник не показывает их содержимое в панели предварительного просмотра и отображает только иконки, временная защита применена.

Быстрая чек-лист для разных ролей

Для домашнего пользователя:

• Отключить панели предварительного просмотра и сведений
• Включить «Всегда отображать значки, а не эскизы»
• Установить обновления Windows
• Не открывать подозрительные вложения

Для администратора ИТ/безопасности:

• Проверить наличие патча в центре обновлений и развернуть его по всем устройствам
• Настроить GPO для управления предварительным просмотром и загрузкой шрифтов
• Добавить правила контентной фильтрации и антималварного сканирования
• Подготовить инструкцию для пользователей и провести информирование

Быстрое руководство принятия решения

flowchart TD
  A[Обнаружен файл .otf/.ttf] --> B{Патч установлен?}
  B -- Да --> C[Обычный рабочий процесс: можно включить превью]
  B -- Нет --> D{Пользователь — обычный?}
  D -- Да --> E[Отключить панели превью/сведений; не открывать файл]
  D -- Нет --> F[Админ: развернуть патч, промаркировать устройство]
  E --> G[При необходимости отправить файл в песочницу]
  F --> G

Глоссарий (одна строка)

• OTF — OpenType Font, формат шрифтов; потенциальный вектор для выполнения кода через уязвимости в обработчике шрифтов.

Резюме

Эта уязвимость позволяла злоумышленнику выполнить вредоносный код просто при просмотре содержимого файла в Проводнике. Microsoft выпустила исправление 14 апреля 2020 года; пока обновление не установлено, отключите области предварительного просмотра и сведений и включите показ значков вместо миниатюр. Для организаций дополнительно рекомендуется развернуть патч через централизованное управление и контролировать загрузку шрифтов.

Краткие выводы:

• Отключите панели предварительного просмотра и сведений в Проводнике немедленно, если обновление не установлено.
• Установите обновления Windows как можно скорее.
• Для администраторов — разверните исправления и настройте политики безопасности.