S3 Ep113: Pwning the Windows kernel – i truffatori che hanno ingannato Microsoft [Audio + Testo]

Fare clic e trascinare sulle onde sonore sottostanti per passare a qualsiasi punto. Puoi anche ascolta direttamente su Soundcloud.

DOUG.  Spyware wireless, scrematura di carte di credito e patch in abbondanza.

Tutto questo e molto altro sul podcast Naked Security.

[MODE MUSICALE]

Benvenuti nel podcast, a tutti.

Sono Doug Aamoth; lui è Paul Ducklin.

Paolo, come stai?

---

ANATRA.  Sto molto bene, Doug.

Freddo, ma buono.

---

DOUG.  Anche qui si gela e tutti stanno male... ma per te è dicembre.

A proposito di dicembre, ci piace iniziare lo spettacolo con il nostro Questa settimana nella storia della tecnologia segmento.

Questa settimana abbiamo un'entrata entusiasmante: il 16 dicembre 2003, il CAN-SPAM Act è stato convertito in legge dall'allora presidente degli Stati Uniti George W. Bush.

Un acronimo per controllare l'assalto della pornografia e del marketing non richiesti, CAN-SPAM è stato considerato relativamente privo di denti per motivi quali il fatto di non richiedere il consenso dei destinatari per ricevere e-mail di marketing e di non consentire alle persone di citare in giudizio gli spammer.

Si riteneva che, entro il 2004, meno dell'1% dello spam fosse effettivamente conforme alla legge.

---

ANATRA.  Sì, è facile dirlo con il senno di poi...

…ma come alcuni di noi hanno scherzato all'epoca, abbiamo pensato che lo chiamassero CAN-SPAM perché è *esattamente* quello che potevi fare. [RISATA]

---

DOUG.  "PUOI spammare!"

---

ANATRA.  Immagino che l'idea fosse: "Iniziamo con un approccio molto dolcemente dolce".

[TONO IRRITATO] Quindi è stato l'inizio, ammettiamolo, non di così tanto.

---

DOUG.  [RISATA] Alla fine ci arriveremo.

A proposito di male e peggio...

…Microsoft Patch Tuesday – niente da vedere qui, a meno che non conti un file driver del kernel dannoso firmato?!

Il malware del driver firmato sale lungo la catena di affidabilità del software

---

ANATRA.  Bene, in realtà diversi: il team di Sophos Rapid Response ha trovato questi artefatti negli impegni che hanno svolto.

Non solo Sophos: Microsoft ha elencato almeno altri due gruppi di ricerca sulla sicurezza informatica che si sono imbattuti in queste cose ultimamente: driver del kernel a cui è stato effettivamente assegnato un sigillo di approvazione digitale da parte di Microsoft.

Microsoft ora ha un avviso che incolpa i partner canaglia.

Se hanno effettivamente creato un'azienda che fingeva di produrre hardware, in particolare per unirsi al programma dei driver con l'intenzione di far passare di soppiatto i driver del kernel?

O se hanno corrotto un'azienda che faceva già parte del programma per giocare con loro?

O se hanno violato un'azienda che non si rendeva nemmeno conto che veniva usata come veicolo per dire a Microsoft: "Ehi, dobbiamo produrre questo driver del kernel - lo certificheresti?"...

Il problema con i driver del kernel certificati, ovviamente, è perché devono essere firmati da Microsoft e poiché la firma dei driver è obbligatoria su Windows, significa che se riesci a far firmare il tuo driver del kernel, non hai bisogno di hack o vulnerabilità o exploit per poterne caricare uno come parte di un attacco informatico.

Puoi semplicemente installare il driver e il sistema dirà: “Oh beh, è ​​firmato. È quindi consentito caricarlo.

E, naturalmente, puoi fare molti più danni quando sei all'interno del kernel che quando sei "semplicemente" amministratore.

In particolare, ottieni l'accesso privilegiato alla gestione dei processi.

In qualità di amministratore, puoi eseguire un programma che dice "Voglio uccidere il programma XYZ", che potrebbe essere, ad esempio, un antivirus o uno strumento di caccia alle minacce.

E quel programma può resistere alla chiusura, perché, supponendo che sia anch'esso a livello di amministratore, nessuno dei due processi può assolutamente rivendicare il primato sull'altro.

Ma se sei all'interno del sistema operativo, è il sistema operativo che si occupa dell'avvio e della conclusione dei processi, quindi ottieni molta più potenza per uccidere cose come il software di sicurezza...

…ea quanto pare è esattamente quello che stavano facendo questi truffatori.

In "la storia che si ripete", ricordo, anni e anni fa, quando indagavamo sul software utilizzato dai truffatori per terminare i programmi di sicurezza, in genere avevano elenchi di processi tra 100 e 200 che erano interessati a eliminare: sistema operativo processi, programmi antivirus di 20 fornitori diversi, tutto quel genere di cose.

E questa volta, penso che ci fossero 186 programmi che il loro autista era lì per uccidere.

Quindi un po' di imbarazzo per Microsoft.

Fortunatamente, ora hanno espulso quei programmatori canaglia dal loro programma di sviluppo e hanno bloccato almeno tutti i driver noti.

---

DOUG.  Quindi non è tutto quello che era rivelato il Patch Tuesday.

C'erano anche alcuni zero-day, alcuni bug RCE e altre cose del genere:

Patch Tuesday: 0 giorni, bug RCE e una curiosa storia di malware firmato

---

ANATRA.  Sì.

Fortunatamente i bug zero-day risolti questo mese non erano quelli noti come RCE, o esecuzione di codice remoto fori.

Quindi non hanno fornito un percorso diretto agli aggressori esterni solo per entrare nella tua rete ed eseguire tutto ciò che volevano.

Ma c'era un bug del driver del kernel in DirectX che avrebbe permesso a qualcuno che era già sul tuo computer di promuovere se stesso per avere poteri a livello di kernel.

Quindi è un po' come portare il tuo autista firmato: *sai* che puoi caricarlo.

In questo caso, sfrutti un bug in un driver affidabile e che ti consente di fare cose all'interno del kernel.

Ovviamente, questo è il tipo di cosa che trasforma un attacco informatico che è già una cattiva notizia in qualcosa di molto, molto peggio.

Quindi sicuramente vuoi applicare una patch contro quello.

Curiosamente, sembra che ciò si applichi solo all'ultima build, ovvero 2022H2 (seconda metà dell'anno è l'acronimo di H2) di Windows 11.

Sicuramente vuoi assicurarti di averlo.

E c'era un bug intrigante in Windows SmartScreen, che è fondamentalmente lo strumento di filtro di Windows che quando provi a scaricare qualcosa che potrebbe essere o è pericoloso, ti dà un avviso.

Quindi, ovviamente, se i truffatori hanno scoperto, “Oh, no! Abbiamo ricevuto questo attacco malware e funzionava davvero bene, ma ora Smart Screen lo sta bloccando, cosa faremo?"...

…o possono scappare e creare un attacco completamente nuovo, oppure possono trovare una vulnerabilità che consente loro di eludere Smart Screen in modo che l'avviso non venga visualizzato.

Ed è esattamente quello che è successo in CVE-2022-44698, Douglas.

Quindi, quelli sono i giorni zero.

Come hai detto, ci sono alcuni bug di esecuzione di codice remoto nel mix, ma nessuno di questi è noto per essere allo stato brado.

Se tocchi contro quelli, superi i truffatori, piuttosto che semplicemente recuperare il ritardo.

---

DOUG.  Ok, rimaniamo in tema di patch...

…e adoro la prima parte di questo titolo.

Dice solo "Apple corregge tutto":

Apple corregge tutto, finalmente svela il mistero di iOS 16.1.2

---

ANATRA.  Sì, non riuscivo a pensare a un modo per elencare tutti i sistemi operativi in ​​70 caratteri o meno. [RISATA]

Quindi ho pensato: "Bene, questo è letteralmente tutto".

E il problema è che l'ultima volta che abbiamo scritto di un aggiornamento Apple, lo è stato solo iOS (iPhone) e solo iOS 16.1.2:

Apple lancia l'aggiornamento di sicurezza iOS che è più riservato che mai

Quindi, se avessi iOS 15, cosa dovevi fare?

Eri a rischio?

Avresti ricevuto l'aggiornamento più tardi?

Questa volta, le notizie sull'ultimo aggiornamento sono finalmente uscite.

Sembra, Doug, che il motivo per cui abbiamo ottenuto l'aggiornamento iOS 16.1.2 è che c'era un exploit in-the-wild, ora noto come CVE-2022-42856, e che era un bug in WebKit, il motore di rendering web all'interno dei sistemi operativi di Apple.

E, a quanto pare, quel bug potrebbe essere attivato semplicemente invitandoti a visualizzare alcuni contenuti con trappole esplosive, ciò che è noto nel commercio come installazione driveby, dove basta dare un'occhiata a una pagina e, "Oh, caro", in background, viene installato il malware.

Ora, a quanto pare, l'exploit trovato funzionava solo su iOS.

Questo è presumibilmente il motivo per cui Apple non ha rilasciato aggiornamenti per tutte le altre piattaforme, sebbene macOS (tutte e tre le versioni supportate), tvOS, iPadOS... in realtà contenevano tutti quel bug.

L'unico sistema che apparentemente non funzionava era watchOS.

Quindi, quel bug era praticamente in tutto il software di Apple, ma a quanto pare era sfruttabile solo, per quanto ne sapevano, tramite un exploit in-the-wild, su iOS.

Ma ora, stranamente, stanno dicendo "Solo su iOS prima della 15.1", il che ti fa chiedere: "Perché non hanno pubblicato un aggiornamento per iOS 15, in quel caso?"

Semplicemente non lo sappiamo!

Forse speravano che se pubblicassero iOS 16.1.2, alcune persone su iOS 15 si sarebbero comunque aggiornate e questo avrebbe risolto il problema per loro?

O forse non erano ancora sicuri che iOS 16 non fosse vulnerabile, ed è stato più facile e veloce pubblicare l'aggiornamento (per il quale hanno un processo ben definito), piuttosto che fare abbastanza test per determinare che il bug non poteva t essere sfruttato facilmente su iOS 16.

Probabilmente non lo sapremo mai, Doug, ma c'è un retroscena piuttosto affascinante in tutto questo!

Ma, in effetti, come hai detto, c'è un aggiornamento per tutti coloro che hanno un prodotto con il logo Apple.

Quindi: non ritardare / fallo oggi.

---

DOUG.  Passiamo ai nostri amici della Ben-Gurion University... sono tornati di nuovo.

Hanno sviluppato alcuni spyware wireless, un po' ingegnosi trucco spyware wireless:

COVID-bit: il trucco dello spyware wireless con un nome sfortunato

---

ANATRA.  Sì... non sono sicuro del nome; Non so cosa stessero pensando lì.

L'hanno chiamato COVID-bit.

---

DOUG.  Un po' strano.

---

ANATRA.  Penso che siamo stati tutti morsi dal COVID in un modo o nell'altro...

---

DOUG.  Forse è così?

---

ANATRA.  I COV è destinato a rappresentare nascosto, e non dicono cosa ID-bit sta per.

Ho immaginato che potesse trattarsi di "divulgazione di informazioni a poco a poco", ma è comunque una storia affascinante.

Adoriamo scrivere delle ricerche che fa questo Dipartimento perché, anche se per la maggior parte di noi è un po' ipotetico...

… stanno studiando come violare gli airgap di rete, ovvero dove gestisci una rete sicura che tieni deliberatamente separata da tutto il resto.

Quindi, per la maggior parte di noi, non è un grosso problema, almeno a casa.

Ma quello che stanno osservando è che *anche se si isola fisicamente una rete da un'altra*, e di questi tempi si entra e si strappano tutte le schede wireless, le schede Bluetooth, le schede Near Field Communications, o si tagliano i fili e si rompono tracce di circuito sulla scheda del circuito per interrompere il funzionamento di qualsiasi connettività wireless...

… esiste ancora un modo in cui un utente malintenzionato che ottiene l'accesso una tantum all'area protetta o un insider corrotto possa far trapelare dati in modo in gran parte non rintracciabile?

E sfortunatamente, si scopre che isolare completamente una rete di apparecchiature informatiche da un'altra è molto più difficile di quanto si pensi.

I lettori abituali sapranno che abbiamo scritto di un sacco di cose che questi ragazzi hanno inventato prima.

Hanno avuto GAIROSCOPE, che è dove in realtà riutilizzi un telefono cellulare chip della bussola come microfono a bassa fedeltà.

---

DOUG.  [RISATA] Ricordo quella:

Violare la sicurezza dell'airgap: utilizzare il giroscopio del telefono come microfono

---

ANATRA.  Perché quei chip possono percepire le vibrazioni abbastanza bene.

Hanno avuto LANTENNA, che è dove metti i segnali su una rete cablata che si trova all'interno dell'area sicura, e i cavi di rete agiscono effettivamente come stazioni radio in miniatura.

Perdono abbastanza radiazioni elettromagnetiche che potresti essere in grado di captarle al di fuori dell'area sicura, quindi usano una rete cablata come trasmettitore wireless.

E avevano una cosa che chiamavano scherzosamente FANSMITTER, che è dove vai, “Beh, possiamo fare la segnalazione audio? Ovviamente, se suoniamo solo melodie attraverso l'altoparlante, come [rumori di composizione] bip-bip-bip-bip-bip, sarà abbastanza ovvio.

Ma cosa succede se variamo il carico della CPU, in modo che la ventola acceleri e rallenti - potremmo usare il variazione della velocità della ventola quasi come una sorta di segnale semaforico?

La ventola del tuo computer può essere usata per spiarti?

E in questo ultimo attacco, hanno pensato: "In quale altro modo possiamo trasformare qualcosa all'interno di quasi tutti i computer del mondo, qualcosa che sembra abbastanza innocente... come possiamo trasformarlo in una stazione radio a bassissima potenza?"

E in questo caso, sono stati in grado di farlo utilizzando l'alimentatore.

Sono stati in grado di farlo in un Raspberry Pi, in un laptop Dell e in una varietà di PC desktop.

Stanno usando l'alimentatore del computer, che fondamentalmente esegue la commutazione CC ad altissima frequenza per tagliare una tensione CC, di solito per ridurla, centinaia di migliaia o milioni di volte al secondo.

Hanno trovato un modo per far fuoriuscire radiazioni elettromagnetiche - onde radio che potevano captare fino a 2 metri di distanza su un telefono cellulare...

…anche se quel telefono cellulare aveva tutte le sue funzionalità wireless disattivate o addirittura rimosse dal dispositivo.

Il trucco che hanno escogitato è: cambi la velocità con cui sta commutando e rilevi i cambiamenti nella frequenza di commutazione.

Immagina, se vuoi una tensione più bassa (se vuoi, diciamo, ridurre 12V a 4V), l'onda quadra sarà accesa per un terzo del tempo e spenta per due terzi del tempo.

Se vuoi 2V, devi cambiare il rapporto di conseguenza.

E si scopre che le moderne CPU variano sia la loro frequenza che la loro tensione per gestire l'alimentazione e il surriscaldamento.

Quindi, modificando il carico della CPU su uno o più core della CPU, aumentando e diminuendo le attività a una frequenza relativamente bassa, tra 5000 e 8000 volte al secondo, sono stati in grado di ottenere la modalità commutata alimentazione per *cambiare le sue modalità di commutazione* a quelle basse frequenze.

E questo ha generato emanazioni radio a bassissima frequenza dalle tracce del circuito o da qualsiasi filo di rame nell'alimentatore.

E sono stati in grado di rilevare quelle emanazioni utilizzando un'antenna radio che non era più sofisticata di un semplice anello di filo!

Quindi, cosa fai con un anello di filo?

Beh, fai finta, Doug, che sia un cavo per microfono o per cuffie.

Lo colleghi a un jack audio da 3.5 mm e lo colleghi al tuo cellulare come se fosse un set di cuffie...

---

DOUG.  Wow.

---

ANATRA.  Registrate il segnale audio generato dal loop di cavi, perché il segnale audio è fondamentalmente una rappresentazione digitale del segnale radio a bassissima frequenza che avete captato.

Sono stati in grado di estrarre i dati da esso a una velocità compresa tra 100 bit al secondo quando utilizzavano il laptop, 200 bit al secondo con Raspberry Pi e ovunque fino a 1000 bit al secondo, con un tasso di errore molto basso, da i computer desktop.

Puoi ottenere cose come chiavi AES, chiavi RSA, anche piccoli file di dati a quel tipo di velocità.

Ho pensato che fosse una storia affascinante.

Se gestisci un'area sicura, sicuramente vuoi tenere il passo con queste cose, perché come dice il vecchio proverbio, "Gli attacchi migliorano o diventano più intelligenti".

---

DOUG.  E tecnologia inferiore. [RISATA]

Tutto è digitale, tranne che abbiamo questa perdita analogica che viene utilizzata per rubare le chiavi AES.

È affascinante!

---

ANATRA.  Solo un promemoria che devi pensare a cosa c'è dall'altra parte del muro sicuro, perché "lontano dagli occhi non è assolutamente fuori di testa".

---

DOUG.  Bene, questo combacia perfettamente con il nostro storia finale – qualcosa che è fuori dalla vista, ma non lontano dalla mente:

Skimming delle carte di credito: la lunga e tortuosa strada del fallimento della catena di approvvigionamento

Se hai mai creato una pagina web, sai che puoi inserire il codice di analisi - una piccola riga di JavaScript - lì per Google Analytics, o aziende simili, per vedere come stanno andando le tue statistiche.

C'era una società di analisi gratuita chiamata Cockpit all'inizio degli anni 2010, e quindi le persone inserivano questo codice Cockpit - questa piccola riga di JavaScript - nelle loro pagine web.

Ma Cockpit è stato chiuso nel 2014 e ha lasciato scadere il nome di dominio.

E poi, nel 2021, i criminali informatici hanno pensato: “Alcuni siti di e-commerce stanno ancora lasciando girare questo codice; stanno ancora chiamando questo JavaScript. Perché non ci limitiamo ad acquistare il nome di dominio e poi possiamo inserire tutto ciò che vogliamo in questi siti che non hanno ancora rimosso quella riga di JavaScript?"

---

ANATRA.  Sì.

Cosa potrebbe andare per il verso giusto, Doug?

---

DOUG.  [RISATA] Esatto!

---

ANATRA.  Sette anni!

Avrebbero avuto una voce in tutti i registri dei test che diceva: Could not source the file cockpit.js (o qualunque cosa fosse) from site cockpit.jp, Penso che fosse.

Quindi, come dici tu, quando i truffatori hanno riattivato il dominio e hanno iniziato a inserire file per vedere cosa sarebbe successo...

…hanno notato che un sacco di siti di e-commerce consumavano ed eseguivano ciecamente e felicemente il codice JavaScript dei truffatori all'interno dei browser web dei loro clienti.

---

DOUG.  [LUAGHING] "Ehi, il mio sito non genera più errori, funziona."

---

ANATRA.  [INCREDULOUS] "Devono averlo riparato"... per una comprensione speciale della parola "fissato", Doug.

Ovviamente, se puoi inserire JavaScript arbitrario nella pagina web di qualcuno, allora puoi praticamente fare in modo che quella pagina web faccia tutto ciò che vuoi.

E se, in particolare, stai prendendo di mira i siti di e-commerce, puoi impostare quello che è essenzialmente un codice spyware per cercare pagine particolari che hanno moduli web particolari con campi denominati particolari su di essi...

…come numero di passaporto, numero di carta di credito, CVV, qualunque cosa sia.

E puoi praticamente risucchiare tutti i dati riservati non crittografati, i dati personali, che l'utente sta inserendo.

Non è ancora entrato nel processo di crittografia HTTPS, quindi lo estrai dal browser, lo crittografi HTTPS *tu stesso* e lo invii a un database gestito da truffatori.

E, naturalmente, l'altra cosa che puoi fare è modificare attivamente le pagine Web quando arrivano.

Quindi puoi attirare qualcuno su un sito Web, uno che è il sito Web *giusto*; è un sito Web su cui sono già stati, di cui sanno di potersi fidare (o pensano di potersi fidare).

Se c'è un modulo web su quel sito che, diciamo, di solito chiede loro il nome e il numero di riferimento dell'account, beh, inserisci solo un paio di campi extra e dato che la persona si fida già del sito...

… se dici nome, ID e [aggiungi] data di nascita?

È molto probabile che inseriscano la loro data di nascita solo perché pensano: "Suppongo che faccia parte del loro controllo di identità".

---

DOUG.  Questo è evitabile.

Potresti iniziare rivedere i collegamenti della catena di approvvigionamento basati sul Web.

---

ANATRA.  Sì.

Forse una volta ogni sette anni sarebbe un inizio? [RISATA]

Se non stai guardando, allora sei davvero parte del problema, non parte della soluzione.

---

DOUG.  Potresti anche, oh, non lo so... controlla i tuoi log?

---

ANATRA.  Sì.

Ancora una volta, una volta ogni sette anni potrebbe iniziare?

Lasciami solo dire quello che abbiamo già detto nel podcast, Doug...

…se hai intenzione di raccogliere log che non guardi mai, *semplicemente non preoccuparti di raccoglierli*.

Smettila di prenderti in giro e non raccogliere i dati.

Perché, in realtà, la cosa migliore che può succedere ai dati se li raccogli e non li guardi, è che le persone sbagliate non li capiranno per errore.

---

DOUG.  Quindi, ovviamente, esegui regolarmente transazioni di prova.

---

ANATRA.  Dovrei dire: "Una volta ogni sette anni sarebbe un inizio"? [RISATA]

---

DOUG.  Certo, sì ... [WRY] potrebbe essere abbastanza regolare, suppongo.

---

ANATRA.  Se sei un'azienda di e-commerce e ti aspetti che i tuoi utenti visitino il tuo sito web, si abituino a un aspetto particolare e si fidino di esso...

…allora devi loro testare che l'aspetto grafico sia corretto.

Regolarmente e frequentemente.

Facile come quello

---

DOUG.  Ok molto bene.

E mentre lo spettacolo inizia a concludersi, sentiamo uno dei nostri lettori su questa storia.

Lary commenta:

Rivedere i collegamenti della catena di approvvigionamento basati sul Web?

Wish Epic Software lo aveva fatto prima di spedire il bug di tracciamento Meta a tutti i suoi clienti.

Sono convinto che ci sia una nuova generazione di sviluppatori che pensano che lo sviluppo significhi trovare frammenti di codice ovunque su Internet e incollarli acriticamente nel loro prodotto di lavoro.

---

ANATRA.  Se solo non avessimo sviluppato un codice del genere...

…dove vai, “lo so, userò questa libreria; Lo scaricherò semplicemente da questa fantastica pagina GitHub che ho trovato.

Oh, ha bisogno di un intero carico di altre cose!?

Oh, guarda, può soddisfare i requisiti automaticamente... beh, allora facciamolo e basta!

Sfortunatamente, devi * possedere la tua catena di fornitura *, e questo significa capire tutto ciò che vi entra.

Se stai pensando alla Software Bill of Materials [SBoM], roadway, dove pensi: "Sì, elencherò tutto ciò che uso", non è sufficiente elencare il primo livello di cose che usi.

Devi anche conoscere, essere in grado di documentare e sapere di poterti fidare di tutte le cose da cui dipendono, e così via e così via:

Le pulci piccole hanno pulci più piccole sulla schiena per morderle E le pulci più piccole hanno pulci più piccole E così all'infinito.

*Ecco* come devi inseguire la tua catena di approvvigionamento!

---

DOUG.  Ben detto!

Va bene, grazie mille, Larry, per aver inviato quel commento.

Se hai una storia, un commento o una domanda interessante che vorresti sottoporre, ci piacerebbe leggerlo sul podcast.

Puoi inviare un'e-mail a tips@sophos.com, commentare uno qualsiasi dei nostri articoli o contattarci sui social: @NakedSecurity.

Questo è il nostro spettacolo per oggi; grazie mille per l'ascolto.

Per Paul Ducklin, sono Doug Aamoth, per ricordarti, alla prossima volta, di...

---

TUTTI E DUE.  Stai al sicuro!

[MODE MUSICALE]