S3 Ep125: Quando l'hardware di sicurezza ha buchi di sicurezza [Audio + Testo]

Nessun lettore audio sotto? Ascoltare direttamente su Soundcloud.

DOUG.   Ransomware, ancora ransomware e vulnerabilità TPM.

Tutto questo e molto altro sul podcast Naked Security.

[MODE MUSICALE]

Benvenuti nel podcast, a tutti.

Sono Doug Aamoth; lui è Paul Ducklin.

Paolo, come stai oggi?

---

ANATRA.   Neve e nevischio, Doug.

Quindi è stato un viaggio freddo in studio.

Sto usando virgolette aeree... non per "ride", per "studio".

Non è proprio uno studio, ma è il *mio* studio!

Un piccolo spazio segreto presso la sede centrale di Sophos per la registrazione del podcast.

Ed è bello e caldo qui dentro, Doug!

---

DOUG.   Va bene, se qualcuno sta ascoltando... fermati per un tour; Paul sarà felice di mostrarti il ​​posto.

E sono così eccitato per Questa settimana nella storia della tecnologia, Paolo.

Questa settimana, il 06 marzo 1992, il virus dormiente del settore di avvio Michelangelo ha preso vita, sovrascrivendo settori dei dischi rigidi delle sue vittime.

Sicuramente questo ha significato la fine del mondo per i computer di tutto il mondo, poiché i media sono inciampati su se stessi per avvertire le persone di un destino imminente?

Tuttavia, secondo il rapporto della conferenza Virus Bulletin del 1994, e cito:

Paul Ducklin, un oratore energico e divertente, crede fermamente che, in molti modi, lo sforzo di educare fatto sia dalle aziende che dai media abbia mancato il suo obiettivo..

Paul, eri lì, amico!

---

ANATRA.   Lo ero, Douglas.

Ironia della sorte, il 6 marzo è stato l'unico giorno in cui Michelangelo non era un virus.

Tutti gli altri giorni, si è semplicemente diffuso a macchia d'olio.

Ma il 06 marzo è stato detto “Aha! È il giorno del carico utile!

E su un disco rigido, passerebbe attraverso le prime 256 tracce, le prime 4 testine, 17 settori per traccia... che era praticamente "l'angolo in basso a sinistra", se vuoi, di ogni pagina della maggior parte dei dischi rigidi in uso a quel tempo.

Quindi, ci vorrebbe circa un blocco di 8.5 MByte dal tuo disco rigido.

Non solo ha cancellato molti dati, ma ha rovinato cose come le tabelle di allocazione dei file.

Quindi potevi recuperare alcuni dati, ma era uno sforzo enorme e incerto per ogni singolo dispositivo che volevi provare a recuperare.

È tanto lavoro per il secondo computer quanto lo era per il primo, per il terzo computer quanto per il secondo... molto, molto difficile da automatizzare.

Fortunatamente, come dici tu, è stato molto sopravvalutato dai media.

In effetti, la mia comprensione è che il virus è stato analizzato per la prima volta dal defunto Roger Riordan, che era un famoso ricercatore australiano di antivirus negli anni '1990, e si è effettivamente imbattuto in esso nel febbraio 1991.

E stava chiacchierando con un suo amico, credo, a riguardo, e il suo amico ha detto: “Oh, il 6 marzo, è il mio compleanno. Sapevi che è anche il compleanno di Michelangelo?"

Perché immagino che le persone nate il 6 marzo potrebbero sapere che...

Certo, era un nome così alla moda e figo... e un anno dopo, quando aveva avuto la possibilità di diffondersi e, come dici tu, spesso giaceva dormiente, è allora che è tornato.

Non ha colpito milioni di computer, come i media sembravano temere, e come amava dire il defunto John McAfee, ma questo è un freddo conforto per chiunque sia stato colpito, perché hai praticamente perso tutto.

Non proprio tutto, ma ti sarebbe costato una piccola fortuna recuperarne un po'... probabilmente in modo incompleto, probabilmente inaffidabile.

E la cosa brutta era che si diffondeva su floppy disk; e perché si è diffuso nel settore dello stivale; e perché a quei tempi quasi tutti i computer si avviavano dall'unità floppy se semplicemente ci fosse un dischetto al suo interno; e poiché anche altrimenti i dischetti vuoti avevano un settore di avvio e qualsiasi codice lì dentro sarebbe stato eseguito, anche se tutto ciò che portava era un messaggio "Disco non di sistema o errore del disco, sostituisci e riprova" ...

…A quel punto era troppo tardi.

Quindi, se hai appena lasciato un disco nell'unità per errore, quando ti accendi la mattina dopo, quando vedi quel messaggio "Disco non di sistema o errore del disco" e pensi: "Oh, aprirò il floppy out e riavviare l'avvio dal disco rigido "...

…a quel punto, il virus era già sul tuo disco rigido e si sarebbe diffuso su ogni singolo floppy che avevi.

Quindi, anche se tu avessi il virus e poi lo rimuovessi, se non controllassi tutta la tua scorta aziendale di dischetti floppy, ci sarebbe stata una Typhoid Mary là fuori che potrebbe reintrodurla in qualsiasi momento.

---

DOUG.   C'è una storia affascinante.

Sono contento che tu fossi lì per aiutare a ripulirlo un po'!

E puliamo qualcos'altro.

Questo Trusted Platform Module... a volte controverso.

Cosa succede quando il codice richiesto per proteggere la tua macchina è esso stesso vulnerabile, Paolo?

Sicurezza seria: Vulns TPM 2.0: i tuoi dati super sicuri sono a rischio?

---

ANATRA.   Se vuoi capire l'intera faccenda del TPM, che suona come una grande idea, giusto... c'è questa piccola cosa della scheda figlia che inserisci in un minuscolo slot sulla tua scheda madre (o forse è pre-incorporata), e ne ha uno minuscolo chip coprocessore speciale che fa solo queste cose crittografiche di base.

Avvio sicuro; firme digitali; archiviazione sicura per le chiavi crittografiche... quindi non è intrinsecamente una cattiva idea.

Il problema è che lo immagineresti, poiché è un dispositivo così piccolo e contiene solo questo codice di base, sicuramente è abbastanza facile smontarlo e renderlo semplice?

Bene, solo le specifiche per il Trusted Platform Module, o TPM... hanno collettivamente: 306 pagine, 177 pagine, 432 pagine, 498 pagine, 146 pagine e il grande ragazzaccio alla fine, la "Parte quattro: Routine di supporto - Code”, dove sono i bug, 1009 pagine PDF, Doug.

---

DOUG.   [RISATA] Solo un po' di lettura leggera!

---

ANATRA.   [SOSPIRA] Solo qualche lettura leggera.

Quindi, c'è molto lavoro. e un sacco di spazio per i bug.

E gli ultimi... beh, ce ne sono parecchi che sono stati notati negli ultimi errata, ma due di loro hanno effettivamente ottenuto i numeri CVE.

C'è CVE-2023-1017 e CVE-2023-1018.

E sfortunatamente, sono bug, vulnerabilità, che possono essere solleticati (o raggiunti) da comandi che un normale programma in spazio utente potrebbe usare, come qualcosa che un amministratore di sistema o tu stesso potresti eseguire, solo per chiedere al TPM di fare qualcosa di sicuro per te.

Quindi puoi fare cose come dire: “Ehi, vai a prendermi dei numeri casuali. Vai e costruiscimi una chiave crittografica. Vai via e verifica questa firma digitale.

Ed è bello se ciò viene fatto in un piccolo processore separato che non può essere manipolato dalla CPU o dal sistema operativo: è un'ottima idea.

Ma il problema è che nel codice della modalità utente che dice "Ecco il comando che ti presento"...

... sfortunatamente, svelando i parametri che vengono passati per eseguire la funzione che desideri: se trabocchetti il ​​modo in cui tali parametri vengono consegnati al TPM, puoi indurlo a leggere memoria aggiuntiva (un overflow di lettura del buffer) o peggio, sovrascrivere cose che appartengono al prossimo ragazzo, per così dire.

È difficile immaginare come questi bug possano essere sfruttati per cose come l'esecuzione di codice sul TPM (ma, come abbiamo detto molte volte, "Mai dire mai").

Ma è certamente chiaro che quando hai a che fare con qualcosa che, come hai detto all'inizio, “hai bisogno di questo per rendere il tuo computer più sicuro. Riguarda la correttezza crittografica”…

…l'idea di qualcosa che fa trapelare anche solo due byte dei preziosi dati segreti di qualcun altro che nessuno al mondo dovrebbe sapere?

L'idea di una perdita di dati, per non parlare di un overflow di scrittura del buffer in un modulo del genere, è davvero piuttosto preoccupante.

Quindi è quello che devi patchare.

E sfortunatamente, il documento di errata non dice: “Ecco i bug; ecco come li rattoppi.

C'è solo una descrizione dei bug e una descrizione di come dovresti modificare il tuo codice.

Quindi presumibilmente ognuno lo farà a modo suo, e poi quei cambiamenti torneranno all'implementazione di riferimento centrale.

La buona notizia è che esiste un'implementazione TPM basata su software [libtpms] per le persone che eseguono macchine virtuali... hanno già dato un'occhiata e hanno trovato alcune correzioni, quindi questo è un buon punto di partenza.

---

DOUG.   Bello.

Nel frattempo, controlla con i tuoi fornitori di hardware e vedi se hanno aggiornamenti per te.

---

ANATRA.   Sì.

---

DOUG.   Andremo avanti... ai primi giorni del ransomware, che erano pieni di estorsioni, e poi le cose si sono complicate con la "doppia estorsione".

E un gruppo di persone è appena stato arrestato in uno schema di doppia estorsione, che è una buona notizia!

Sospetti ransomware DoppelPaymer arrestati in Germania e Ucraina

---

ANATRA.   Sì, questa è una banda di ransomware nota come DoppelPaymer. (“Doppel” significa doppio in tedesco.)

Quindi l'idea è che sia un doppio smacco.

È dove codificano tutti i tuoi file e dicono: “Ti venderemo la chiave di decrittazione. E a proposito, nel caso in cui pensi che i tuoi backup andranno bene, o nel caso in cui stai pensando di dirci di perderci e non pagarci i soldi, sappi solo che abbiamo anche rubato tutti i tuoi file prima. "

"Quindi, se non paghi e *puoi* decifrare da solo e *puoi* salvare la tua attività... faremo trapelare i tuoi dati."

La buona notizia in questo caso è che alcuni sospetti sono stati interrogati e arrestati e molti dispositivi elettronici sono stati sequestrati.

Quindi, anche se questo è, se vuoi, un freddo conforto per le persone che hanno subito attacchi DoppelPaymer nel corso della giornata, significa almeno che le forze dell'ordine non si arrendono quando le cybergang sembrano abbassare la testa.

Apparentemente hanno ricevuto fino a $ 40 milioni in pagamenti di ricatto solo negli Stati Uniti.

E notoriamente hanno attaccato l'ospedale universitario di Düsseldorf in Germania.

Se c'è un punto basso nel ransomware...

---

DOUG.   A Parte Gli Scherzi!

---

ANATRA.   …non che sia positivo che qualcuno venga colpito, ma l'idea di far fuori un ospedale, in particolare un ospedale universitario?

Immagino che sia il minimo del minimo, non è vero?

---

DOUG.   E abbiamo qualche consiglio.

Solo perché questi sospetti sono stati arrestati: Non ridurre la tua protezione.

---

ANATRA.   No, infatti, Europol ammette, con le loro parole, "Secondo i rapporti, Doppelpaymer da allora è stato rinominato [come una banda di ransomware] chiamata 'Grief'".

Quindi il problema è che quando arresti alcune persone in una cybergang, forse non trovi tutti i server...

…se impossessi i server, non puoi necessariamente risalire alle persone.

Fa un'ammaccatura, ma non significa che il ransomware sia finito.

---

DOUG.   E su quel punto: Non fissarti solo sul ransomware.

---

ANATRA.   Infatti!

Penso che gang come DoppelPaymer lo chiariscano abbondantemente, vero?

Quando vengono a criptare i tuoi file, li hanno già rubati.

Quindi, quando ottieni effettivamente la parte del ransomware, hanno già fatto N altri elementi della criminalità informatica: l'irruzione; il guardarsi intorno; probabilmente aprendo un paio di backdoor in modo che possano rientrare più tardi o vendere l'accesso al prossimo ragazzo; e così via.

---

DOUG.   Che combacia con il prossimo consiglio: Non aspettare che gli avvisi di minaccia cadano nella tua dashboard.

Forse è più facile a dirsi che a farsi, a seconda della maturità dell'organizzazione.

Ma c'è aiuto disponibile!

---

ANATRA.   [RISATA] Pensavo che avresti parlato Rilevamento e risposta gestiti da Sophos per un momento lì, Doug.

---

DOUG.   Stavo cercando di non venderlo.

Ma possiamo aiutare!

C'è qualche aiuto là fuori; Facci sapere.

---

ANATRA.   In parole povere, prima ci arrivi; prima te ne accorgi; più proattiva è la tua sicurezza preventiva...

… meno è probabile che i truffatori siano in grado di arrivare fino a un attacco ransomware.

E questa può essere solo una buona cosa.

---

DOUG.   Ultimo ma non meno importante: Nessun giudizio, ma non pagare se puoi evitarlo.

---

ANATRA.   Sì, penso che siamo quasi obbligati a dirlo.

Perché pagare i fondi la prossima ondata di criminalità informatica, sicuramente alla grande.

E in secondo luogo, potresti non ottenere ciò per cui paghi.

---

DOUG.   Bene, passiamo da un'impresa criminale all'altra.

Ed è quello che succede quando un'impresa criminale usa ogni Strumento, tecnica e procedura nel libro!

I federali avvertono della giusta furia del ransomware Royal che gestisce la gamma di TTP

---

ANATRA.   Questo viene dal CISA, gli Stati Uniti Cybersecurity and Infrastructure Security Agency.

E in questo caso, nel bollettino AA23 (quest'anno) trattino 061A-per-alfa, si parla di una banda chiamata Royal ransomware.

Reale con la R maiuscola, Doug.

La cosa brutta di questa banda è che i loro strumenti, tecniche e procedure sembrano essere "in grado di includere tutto ciò che è necessario per l'attacco in corso".

Dipingono con un pennello molto largo, ma attaccano anche con una pala molto profonda, se capisci cosa intendo.

Questa è la cattiva notizia.

La buona notizia è che c'è molto da imparare e, se prendi tutto sul serio, avrai una prevenzione e una protezione molto ampie non solo contro gli attacchi ransomware, ma anche contro ciò che stavi menzionando prima nel segmento Doppelpaymer: "Non Non fissarmi solo sul ransomware.”

Preoccupati di tutte le altre cose che portano ad esso: keylogging; furto di dati; impianto backdoor; furto di password.

---

DOUG.   Va bene, Paul, riassumiamo alcuni dei suggerimenti del consiglio CISA, iniziando da: Questi truffatori irrompono usando metodi collaudati.

---

ANATRA.   Loro fanno!

Le statistiche del CISA suggeriscono che questa particolare banda utilizzi il buon vecchio phishing, che ha avuto successo in 2/3 degli attacchi.

Quando non funziona bene, vanno alla ricerca di roba senza patch.

Inoltre, in 1/6 dei casi, sono ancora in grado di entrare usando RDP... i buoni vecchi attacchi RDP.

Perché hanno bisogno solo di un server di cui ti sei dimenticato.

E inoltre, tra l'altro, CISA ha riferito che, una volta entrati, anche se non sono entrati utilizzando RDP, sembra che stiano ancora scoprendo che molte aziende hanno una politica piuttosto più liberale sull'accesso RDP * all'interno* della loro rete.

[RISATA] Chi ha bisogno di script PowerShell complicati in cui puoi semplicemente connetterti al computer di qualcun altro e verificarlo sul tuo schermo?

---

DOUG.   Una volta entrati, i criminali cercano di evitare i programmi che potrebbero ovviamente presentarsi come malware.

Questo è anche noto come "vivere dei frutti della terra".

---

ANATRA.   Non stanno solo dicendo: “Oh beh, usiamo il programma PsExec di Microsoft Sysinternal e usiamo questo particolare popolare script PowerShell.

Hanno un numero qualsiasi di strumenti, per fare un numero qualsiasi di cose diverse che sono abbastanza utili, dagli strumenti che scoprono i numeri IP, agli strumenti che impediscono ai computer di dormire.

Tutti strumenti che un amministratore di sistema ben informato potrebbe benissimo avere e utilizzare regolarmente.

E, in parole povere, c'è solo un po' di malware puro che questi truffatori introducono, e questa è la roba che fa il rimescolamento finale.

A proposito, non dimenticare che se sei un criminale ransomware, non hai nemmeno bisogno di portare il tuo toolkit di crittografia.

Potresti, se lo desideri, utilizzare un programma come, ad esempio, WinZip o 7-Zip, che include una funzione per "Creare un archivio, spostare i file all'interno" (il che significa eliminarli una volta inseriti nell'archivio), "e crittografarli con una password."

Fintanto che i truffatori sono le uniche persone a conoscere la password, possono comunque offrirti di vendertela...

---

DOUG.   E giusto per aggiungere un po' di sale alla ferita: Prima di codificare i file, gli aggressori cercano di complicare il percorso verso il recupero.

---

ANATRA.   Chissà se hanno creato nuovi account amministratore segreti?

Server buggati installati deliberatamente?

Patch deliberatamente rimosse in modo che conoscano un modo per tornare la prossima volta?

Lasciati dietro i keylogger, dove si attiveranno in un momento futuro e faranno ricominciare da capo i tuoi problemi?

E lo stanno facendo perché è molto a loro vantaggio che quando ti riprendi da un attacco ransomware, non ti riprendi completamente.

---

DOUG.   Bene, abbiamo alcuni link utili in fondo all'articolo.

Un link che ti porterà a saperne di più Rilevamento e risposta gestiti da Sophos [MDR], e un altro che ti porta al Playbook dell'avversario attivo, che è un pezzo messo insieme dal nostro John Shier.

Alcuni suggerimenti e approfondimenti che puoi utilizzare per rafforzare al meglio la tua protezione.

Conosci il tuo nemico! Scopri come entrano in gioco gli avversari del crimine informatico...

---

ANATRA.   È come una versione meta del rapporto "Royal ransomware" della CISA.

Si tratta di casi in cui la vittima non si è accorta che gli aggressori erano nella loro rete fino a quando non è stato troppo tardi, quindi ha chiamato Sophos Rapid Response e ha detto: "Oh accidenti, pensiamo di essere stati colpiti da ransomware... ma cos'altro è successo? "

E questo è ciò che abbiamo effettivamente riscontrato, nella vita reale, in un'ampia gamma di attacchi da parte di una serie di criminali spesso non correlati.

Quindi ti dà un'idea molto, molto ampia della gamma di TTP (strumenti, tecniche e procedure) di cui devi essere a conoscenza e da cui puoi difenderti.

Perché la buona notizia è che costringendo i truffatori a utilizzare tutte queste tecniche separate, in modo che nessuno di loro attivi da solo un enorme allarme...

… ti dai la possibilità di individuarli presto, se solo tu [A] sai dove cercare e [B] riesci a trovare il tempo per farlo.

---

DOUG.   Molto buono.

E abbiamo un commento del lettore su questo articolo.

Il lettore di Naked Security Andy chiede:

Come si comportano i pacchetti di Sophos Endpoint Protection contro questo tipo di attacco?

Ho visto in prima persona quanto è buona la protezione dai ransomware dei file, ma se viene disabilitata prima che inizi la crittografia, ci affidiamo per la maggior parte alla protezione contro le manomissioni, immagino?

---

ANATRA.   Beh, spero di no!

Mi auguro che un cliente di Sophos Protection non dica semplicemente: “Bene, eseguiamo solo la piccola parte del prodotto che è lì per proteggerti come il tipo di saloon Last Chance… quello che chiamiamo CryptoGuard.

Questo è il modulo che dice: "Ehi, qualcuno o qualcosa sta cercando di codificare un gran numero di file in un modo che potrebbe essere un vero programma, ma non sembra giusto".

Quindi, anche se è legittimo, probabilmente rovinerà le cose, ma è quasi certamente qualcuno che cerca di farti del male.

---

DOUG.   Sì, CryptoGuard è come un casco che indossi mentre sorvoli il manubrio della tua bicicletta.

Le cose sono diventate piuttosto serie se CryptoGuard sta entrando in azione!

---

ANATRA.   La maggior parte dei prodotti, inclusa Sophos al giorno d'oggi, ha un elemento di protezione contro le manomissioni che cerca di fare un ulteriore passo avanti, in modo che anche un amministratore debba fare i salti mortali per disattivare alcune parti del prodotto.

Ciò rende più difficile farlo e più difficile automatizzarlo, disattivarlo per tutti.

Ma ci devi pensare...

Se i criminali informatici entrano nella tua rete e hanno veramente "equivalenza di amministratore di sistema" sulla tua rete; se sono riusciti a ottenere effettivamente gli stessi poteri che hanno i tuoi normali amministratori di sistema (e questo è il loro vero obiettivo; questo è ciò che vogliono veramente)...

Dato che gli amministratori di sistema che eseguono un prodotto come quello di Sophos possono configurare, deconfigurare e impostare le impostazioni ambientali...

…allora se i truffatori *sono* amministratori di sistema, è come se avessero già vinto.

Ed è per questo che devi trovarli in anticipo!

Quindi lo rendiamo il più difficile possibile e forniamo quanti più livelli di protezione possibile, si spera di provare a fermare questa cosa prima ancora che arrivi.

E già che ci siamo, Doug (non voglio che sembri una battuta di vendita, ma è solo una caratteristica del nostro software che mi piace)...

Abbiamo quello che io chiamo un componente "avversario avversario attivo"!

In altre parole, se rileviamo un comportamento sulla tua rete che suggerisce fortemente cose, ad esempio, che i tuoi amministratori di sistema non farebbero del tutto o non farebbero proprio in quel modo...

…”avversario attivo avversario” dice: “Sai una cosa? Proprio in questo momento, aumenteremo la protezione a livelli più alti di quelli normalmente tollerati.

E questa è un'ottima caratteristica perché significa che, se i truffatori entrano nella tua rete e iniziano a provare a fare cose spiacevoli, non devi aspettare fino a quando non te ne accorgi e *poi* decidi: "Quali quadranti dovremmo cambiare?"

Doug, quella è stata una risposta piuttosto lunga a una domanda apparentemente semplice.

Ma lasciatemi solo leggere ciò che ho scritto nella mia risposta al commento su Naked Security:

Il nostro obiettivo è essere sempre vigili e intervenire il più presto, automaticamente, in modo sicuro e decisivo possibile, per ogni tipo di attacco informatico, non solo ransomware.

---

DOUG.   Va bene, ben detto!

Grazie mille, Andy, per avermelo inviato.

Se hai una storia, un commento o una domanda interessante che vorresti inviare, ci piacerebbe leggerla sul podcast.

Potete inviare un'e-mail a tips@sophos.com, commentare uno qualsiasi dei nostri articoli o contattarci sui social: @NakedSecurity.

Questo è il nostro spettacolo per oggi; grazie mille per l'ascolto.

Per Paul Ducklin, sono Doug Aamoth, te lo ricordo. Alla prossima volta, per...

---

TUTTI E DUE.   Stai al sicuro!

[MODE MUSICALE]