シーズン 3 第125 話: セキュリティ ハードウェアにセキュリティ ホールがある場合 [音声 + テキスト]

下にオーディオプレーヤーがありませんか？ 聞く 直接に Soundcloudで。

ダグ。   ランサムウェア、さらなるランサムウェア、および TPM の脆弱性。

NakedSecurityポッドキャストのすべてとそれ以上。

【ミュージックモデム】

皆さん、ポッドキャストへようこそ。

私は Doug Aamoth です。 彼はポール・ダックリンです。

ポール、今日はどう？

---

アヒル。   雪とみぞれ、ダグ。

ですから、スタジオに入るのは寒かったです。

私は空中引用符を使用しています...「乗車」ではなく、「スタジオ」です。

本当のスタジオではありませんが、*私の*スタジオです!

ポッドキャストを録音するための Sophos HQ の小さな秘密のスペース。

ここは素敵で暖かいよ、ダグ！

---

ダグ。   よし、もし誰かが聞いていたら…ツアーに立ち寄ってください。 ポールが喜んでご案内いたします。

そして、私はとても興奮しています 今週の技術史、ポール。

06 年 1992 月 XNUMX 日の今週、休眠していた Michelangelo ブート セクタ ウイルスが活動を開始し、被害者のハードディスクのセクタを上書きしました。

確かにこれは、差し迫った破滅を人々に警告するためにメディアがつまずいたため、あらゆる場所のコンピューターにとって世界の終わりを意味していたのでしょうか?

ただし、1994 年の Virus Bulletin カンファレンス レポートによると、次のように引用します。

エネルギッシュで楽しい講演者であるポール・ダックリンは、企業とメディアの両方による教育への取り組みが、多くの点で目標を達成できていないと固く信じています。.

ポール、あなたはそこにいました！

---

アヒル。   私はそうでした、ダグ。

皮肉なことに、6 月 XNUMX 日はミケランジェロがウイルスではなかった XNUMX 日でした。

それ以外の日は、山火事のように広がりました。

しかし、06 月 XNUMX 日には、「あはは！ ペイロードの日だ！」

そして、ハードディスクでは、最初の 256 トラック、最初の 4 つのヘッド、17 トラックあたり XNUMX セクタを通過します。これは、使用されているほとんどのハードディスクのすべてのページのほとんど「左下隅」でした。その時。

したがって、ハードディスクから約 8.5MByte のチャンクが必要になります。

大量のデータが失われただけでなく、ファイル アロケーション テーブルなども破壊されました。

そのため、一部のデータを回復することはできましたが、回復しようとするすべてのデバイスに対して、膨大で不確実な作業が必要でした.

XNUMX 台目のコンピューターでも XNUMX 台目と同じくらいの作業が必要で、XNUMX 台目のコンピューターでも XNUMX 台目と同じくらいの作業が必要です。自動化は非常に困難です。

幸いなことに、あなたが言うように、それはメディアで非常に誇張されていました.

実際、私の理解では、ウイルスは 1990 年代に有名なオーストラリアのウイルス対策研究者であった故ロジャー リオーダンによって最初に分析され、1991 年 XNUMX 月に実際にこのウイルスに遭遇しました。

そして、彼はそれについて彼の友達とおしゃべりしていたと思います、そして彼の友達は言いました。 ミケランジェロの誕生日でもあるって知ってた？」

6月XNUMX日生まれの人はたまたま知っているかもしれないので…

もちろん、それはとてもトレンディでクールな名前でした…そしてXNUMX年後、それが広まる機会があり、あなたが言うように、しばしば休眠状態になったとき、それは戻ってきました.

メディアが恐れていたように、そして故ジョン・マカフィーが好んで言ったように、何百万台ものコンピューターに影響を与えたわけではありません。

すべてではありませんが、一部を取り戻すには少額の費用がかかります…おそらく不完全で、おそらく信頼性が低い.

それの悪い点は、フロッピー ディスクで広まったことです。 また、ブート セクタに広がったためです。 当時は、たまたまディスクが入っていれば、ほとんどすべてのコンピュータがフロッピー ドライブから起動していたからです。 それ以外の場合でも、空のフロッピー ディスクにはブート セクタがあり、そこにあるすべてのコードが実行されるため、「非システム ディスクまたはディスク エラーです。交換して再試行してください」というようなメッセージが表示されたとしても...

……時すでに遅し。

したがって、誤ってドライブにディスクを入れたままにしておくと、翌朝電源を入れたときに、「システム以外のディスクまたはディスク エラー」というメッセージが表示されたときに、「ああ、フロッピーを取り出そう」と思ったでしょう。ハードドライブから起動して再起動します」…

…その時までに、ウイルスはすでにハードディスクに存在し、所有しているすべてのフロッピーに感染していました。

したがって、ウイルスに感染していてそれを削除したとしても、企業のフロッピー ディスクの保管庫全体を調べていなければ、いつでも再感染する可能性のある腸チフスがそこに存在することになります。

---

ダグ。   魅力的な話があります。

少しでもきれいになるお手伝いができてよかったです！

そして、もう少し何かをきれいにしましょう。

このトラステッド プラットフォーム モジュールは… 物議を醸すこともあります。

マシンを保護するために必要なコードがそれ自体である場合に何が起こるか 脆弱な、ポール？

重大なセキュリティ: TPM 2.0 の脆弱性 – 非常に安全なデータが危険にさらされていますか?

---

アヒル。   この TPM の全体像を理解したい場合は、これは素晴らしいアイデアのように思えます... マザーボードの小さな小さなスロットに差し込む小さな小さなドーターボードがあります (または、あらかじめ組み込まれている可能性があります)。このコア暗号処理を行うだけの小さな特別なコプロセッサ チップです。

セキュアブート; デジタル署名; 暗号化キーの強力なストレージ…だから、それは本質的に悪い考えではありません。

問題は、それは非常に小さなデバイスであり、このコアコードが組み込まれているだけなので、それを取り除いてシンプルにするのは非常に簡単だと思いますか?

まあ、トラステッド プラットフォーム モジュール (TPM) の仕様だけですが… まとめて: 306 ページ、177 ページ、432 ページ、498 ページ、146 ページ、そして最後に大きな悪者「パート 1009: サポート ルーチン –コード」、バグがある場所、XNUMX PDF ページ、Doug.

---

ダグ。   [笑] 軽い読み物が必要です!

---

アヒル。   [ため息] 軽い読み物です。

だから、たくさんの仕事があります。 バグの場所がたくさんあります。

そして最新のもの…まあ、最新の正誤表で指摘されたものはかなりありますが、そのうちの XNUMX つは実際に CVE 番号を取得しています。

CVE-2023-1017 と CVE-2023-1018 があります。

そして残念なことに、それらはバグ、脆弱性であり、通常のユーザー空間プログラムが使用する可能性のあるコマンドによってくすぐられる (または到達する) 可能性があります。たとえば、システム管理者またはあなた自身が TPM に実行を依頼するために実行する可能性があるものです。あなたのために何かを安全に。

たとえば、「ねえ、行って乱数をいくつか入手してください。 暗号鍵を作ってくれ。 離れて、このデジタル署名を確認してください。」

そしてそれが、CPU やオペレーティング システムによって干渉されない独立した小さなプロセッサで実行されるのは素晴らしいことです。それは素晴らしいアイデアです。

しかし、問題は、ユーザー モード コードで、「これが私が提示するコマンドです」ということです...

…残念ながら、必要な機能を実行するために渡されるパラメーターを解明する必要があります。これらのパラメーターが TPM に配信される方法をブービートラップすると、余分なメモリを読み取るようにだますことができます (バッファー読み取りオーバーフロー)。さらに悪いことに、いわば次の人のものを上書きします。

これらのバグが、TPM でのコード実行などにどのように悪用されるかを理解するのは困難です (ただし、何度も言っているように、「絶対に絶対にありません」)。

しかし、最初にあなたが言ったように、「コンピュータをより安全にするためにこれが必要です。 すべては暗号の正しさです」…

…世界の誰も知らないはずの他人の貴重な秘密データの XNUMX バイトでも何かが漏洩するという考えは?

そのようなモジュールでのバッファ書き込みオーバーフローは言うまでもなく、データ漏洩の考えは、確かに非常に心配です。

それがあなたがパッチを当てる必要があるものです。

そして残念なことに、正誤表には次のようには書かれていません。 パッチを適用する方法は次のとおりです。」

バグの説明と、コードを修正する方法の説明だけがあります。

したがって、おそらく誰もが独自の方法でそれを行い、それらの変更は中央のリファレンス実装にフィルターバックされます。

良いニュースは、ソフトウェア ベースの TPM 実装があることです [libtpms] 仮想マシンを実行している人々のために...彼らはすでに見ていて、いくつかの修正を考え出しているので、それは 始めるのに良い場所.

---

ダグ。   美しい。

それまでの間、ハードウェア ベンダーに確認し、アップデートがあるかどうかを確認してください。

---

アヒル。   はい。

---

ダグ。   次に話を進めます…ランサムウェアの黎明期には恐喝が蔓延していましたが、その後、「二重の恐喝」により事態はさらに複雑になりました。

そして、たくさんの人々がちょうど 逮捕された 朗報です！

ドイツとウクライナで逮捕された DoppelPaymer ランサムウェア容疑者

---

アヒル。   はい、これは DoppelPaymer として知られるランサムウェア ギャングです。 （「ドッペル」とは ドイツ語で。）

つまり、アイデアはそれが二重の打撃であるということです。

彼らはあなたのすべてのファイルをスクランブルする場所であり、彼らはこう言います。 ところで、念のため、バックアップで十分だと思われる場合、または紛失するように言ってお金を払わないことを考えている場合に備えて、最初にすべてのファイルを盗んだことを覚えておいてください. 」

「ですから、あなたが支払わず、自分で復号化でき、ビジネスを救うことができれば、あなたのデータが漏洩することになります。」

この場合の朗報は、何人かの容疑者が取り調べを受けて逮捕され、多くの電子機器が押収されたことです。

したがって、これは、お望みであれば、当時 DoppelPaymer 攻撃を受けた人々にとって冷たい慰めではありますが、少なくとも、サイバーギャングが頭を下げているように見えるときに法執行機関があきらめないことを意味します.

彼らは、米国だけで 40 万ドルもの恐喝を受け取ったようです。

そして、彼らはドイツのデュッセルドルフ大学病院を狙ったことで悪名高い。

ランサムウェアに最低点があるとすれば…

---

ダグ。   真剣に！

---

アヒル。   …誰かが殴られるのは良いことではありませんが、実際に病院、特に教育病院を奪うという考えは?

私はそれが最低の最低だと思いますね。

---

ダグ。   そして、アドバイスがあります。

これらの容疑者が逮捕されたという理由だけで： 保護をダイヤルバックしないでください。

---

アヒル。   いいえ、実際、Europol は、「レポートによると、Doppelpaymer はその後 [ランサムウェア ギャングとして] 'Grief' という名前に変更しました」と認めています。

問題は、サイバーギャングの何人かを逮捕したときに、すべてのサーバーを見つけられない可能性があることです…

…サーバーを掌握した場合、必ずしも個人に逆戻りできるとは限りません。

へこみはありますが、ランサムウェアが終わったわけではありません。

---

ダグ。   そしてその点について： ランサムウェアだけに固執しないでください。

---

アヒル。   確かに！

DoppelPaymer のようなギャングは、これを非常に明確にしていると思いますね。

彼らがあなたのファイルをスクランブルしに来る頃には、彼らはすでにそれらを盗んでいます.

したがって、実際にランサムウェアの部分を入手するまでに、彼らはサイバー犯罪の他の N 個の要素を既に実行しています。 周りを見回す; おそらくいくつかのバックドアを開いて、後で戻ってくるか、次の男にアクセスを販売できるようにします。 等々。

---

ダグ。   これは、次のアドバイスに当てはまります。 脅威アラートがダッシュボードに表示されるのを待たないでください。

組織の成熟度にもよりますが、これは言うは易く行うは難しです。

しかし、利用可能なヘルプがあります！

---

アヒル。   [笑い] あなたが言及するつもりだったと思います ソフォスが管理する検出と対応 少しの間、ダグ。

---

ダグ。   売らないようにしていました。

しかし、私たちは助けることができます!

そこにはいくつかの助けがあります。 我々に教えてください。

---

アヒル。   大まかに言えば、早く着くほどです。 気づくのが早いほど。 予防的セキュリティがより積極的になればなるほど…

…詐欺師がランサムウェア攻撃まで到達する可能性は低くなります。

そして、それは良いことです。

---

ダグ。   そして最後は重要なことですが： 判断する必要はありませんが、回避できる可能性がある場合は支払う必要はありません。

---

アヒル。   はい、私たちはそれを言う義務があると思います。

支払うことは、サイバー犯罪の次の波に資金を提供するためです。

そして第二に、あなたが支払ったものを手に入れることができないかもしれません.

---

ダグ。   さて、ある犯罪企業から別の犯罪企業に移りましょう。

犯罪組織があらゆるものを ツール、テクニック、手順 本の中で！

Feds は、TTP の範囲を実行する正しい Royal ランサムウェアの暴走について警告します

---

アヒル。   これは CISA – 米国からのものです サイバーセキュリティおよびインフラストラクチャセキュリティ機関.

この場合、速報 AA23 (今年のもの) ダッシュ 061A-for-alpha では、Royal ランサムウェアと呼ばれるギャングについて話しています。

大文字のR、ダグのロイヤル。

このギャングの悪い点は、彼らのツール、テクニック、および手順が「現在の攻撃に必要なものをすべて含んでいる」ように見えることです。

彼らは非常に幅の広いブラシで絵を描きますが、私の言いたいことがわかるなら、非常に深いシャベルで攻撃します。

それは悪いニュースです。

良いニュースは、学ぶべきことが非常に多いということです。すべてを真剣に受け止めれば、ランサムウェア攻撃だけでなく、以前のドッペルペイマー セグメントで言及されていたものに対しても、非常に幅広い防御と保護が得られます。ランサムウェアに執着するだけではいけません。」

それにつながる他のすべてのものについて心配してください。キーロギング。 データ盗用; バックドア移植; パスワードの盗難。

---

ダグ。   よし、ポール、CISA のアドバイスからの要点のいくつかを要約してみましょう。 これらの詐欺師は、実績のある信頼できる方法を使用して侵入します。

---

アヒル。   彼らはそうします！

CISA の統計によると、この特定のギャングは古き良きフィッシングを使用しており、攻撃の 2 分の 3 に成功しています。

それがうまくいかない場合、彼らはパッチが適用されていないものを探しに行きます。

また、ケースの 1 分の 6 では、依然として RDP を使用して侵入することができます… 古き良き RDP 攻撃です。

忘れていたサーバーが XNUMX つしか必要ないからです。

また、ちなみに、CISA は、RDP を使用していなくても、内部に入ると、多くの企業が RDP アクセスに関してかなり寛大なポリシーを持っていることをまだ発見しているようだと報告しました *ネットワーク内*。

[笑] 他人のコンピューターに接続して自分の画面で確認できる複雑な PowerShell スクリプトが必要な人はいますか?

---

ダグ。   侵入すると、犯罪者は、明らかにマルウェアとして現れる可能性のあるプログラムを回避しようとします。

それは「土地から離れて生きる」とも呼ばれます。

---

アヒル。   彼らは、「まあ、Microsoft Sysinternal の PsExec プログラムを使用して、この特定の一般的な PowerShell スクリプトを使用しましょう」と言っているだけではありません。

IP 番号を検出するツールから、コンピュータのスリープを停止するツールまで、非常に便利なさまざまなことを行うためのツールがいくつもあります。

十分な情報に通じたシステム管理者が持っていて、定期的に使用している可能性のあるすべてのツール。

そして、大まかに言えば、これらの詐欺師が持ち込む純粋なマルウェアは XNUMX つだけであり、それが最終的な暗号化を行うものです。

ちなみに、ランサムウェアの犯罪者であれば、独自の暗号化ツールキットを持ち込む必要さえないことを忘れないでください。

必要に応じて、WinZip や 7-Zip などの「アーカイブを作成し、ファイルを移動する」機能を備えたプログラムを使用することもできます (つまり、アーカイブに入れたらファイルを削除します)。 「そしてそれらをパスワードで暗号化します。」

パスワードを知っているのが詐欺師だけである限り、彼らはあなたにパスワードを売り戻すことができます…

---

ダグ。   そして、傷に少し塩を加えるだけです： 攻撃者は、ファイルをスクランブルする前に、回復へのパスを複雑にしようとします。

---

アヒル。   彼らが新しい秘密の管理者アカウントを作成したかどうか誰が知っていますか?

意図的にバグのあるサーバーをインストールしましたか?

パッチを故意に削除して、次に戻す方法を知っていますか?

キーロガーが置き去りにされた後、キーロガーがアクティブになり、問題が最初からやり直される可能性がありますか?

彼らがそうしているのは、ランサムウェア攻撃から回復するときに完全には回復しないことが彼らにとって非常に有利だからです。

---

ダグ。   よし、記事の最後に役立つリンクがいくつかある。

詳細については、XNUMX つのリンクを参照してください。 ソフォスが管理する検出と対応 [MDR]、そしてあなたを アクティブな敵対者のプレイブック、これは私たち自身のジョン・シャイアーによってまとめられた作品です.

保護を強化するために使用できるいくつかのポイントと洞察。

己の敵を知れ！ サイバー犯罪の敵がどのように侵入するかを学びましょう…

---

アヒル。   これは、CISA の「ロイヤル ランサムウェア」レポートのメタ バージョンのようなものです。

手遅れになるまで攻撃者が自分のネットワークに侵入していることに被害者が気付かず、Sophos Rapid Response に電話をかけ、「なんてこった、ランサムウェアに襲われたようだ…でも他に何があったの?」と言ったケースです。 」

これは、多くの場合無関係な攻撃者によるさまざまな攻撃で実際に発見されたものです。

したがって、知っておく必要があり、防御できる TTP (ツール、テクニック、および手順) の範囲について、非常に幅広いアイデアが得られます。

良いニュースは、詐欺師にこれらすべての個別の手法を強制的に使用させることで、それらのいずれかが単独で大規模な警報をトリガーしないようにすることです…

…[A] がどこを見ればよいかを知っていて、[B] がそうする時間を見つけることができれば、あなたはそれらを早期に発見するための戦いのチャンスを自分に与えます。

---

ダグ。   非常に良い。

そして、この記事に対する読者のコメントがあります。

Naked Security の読者である Andy は次のように質問しています。

Sophos Endpoint Protection パッケージは、この種の攻撃に対してどのように機能しますか?

ファイルのランサムウェア保護がどれほど優れているかを直接見てきましたが、暗号化が開始される前に無効になっている場合、ほとんどの場合、タンパー プロテクションに依存していると思います。

---

アヒル。   まあ、そうではないことを願っています！

Sophos Protection のお客様が、「さて、製品のごく一部だけをラスト チャンス サルーンのようなものとして実行してみましょう。CryptoGuard と呼んでいます。

それは、「誰かまたは何かが、本物のプログラムのように見える方法で大量のファイルを暗号化しようとしていますが、正しくないように見える」というモジュールです。

ですから、それが合法であっても、おそらく物事を台無しにするでしょうが、それはほぼ間違いなく、誰かがあなたに危害を加えようとしている.

---

ダグ。   はい、CryptoGuard は、自転車のハンドルバーの上を飛んでいるときに着用するヘルメットのようなものです。

CryptoGuard が動き出すと、事態はかなり深刻になります!

---

アヒル。   最近の Sophos を含むほとんどの製品には、さらに一歩進んだタンパー プロテクションの要素が含まれているため、管理者でさえ、製品の特定の部分をオフにするためにフープをジャンプする必要があります。

これにより、すべての人に対してオフにするために、それを行うことはまったく難しく、自動化することも難しくなります.

しかし、あなたはそれについて考えなければなりません…

サイバー犯罪者があなたのネットワークに侵入した場合、彼らは本当にあなたのネットワーク上で「sysadmin と同等」を持っています。 彼らがあなたの通常のシステム管理者が持っているのと同じ力を効果的に得ることができたなら (それが彼らの真の目標であり、彼らが本当に望んでいることです)…

ソフォスのような製品を実行しているシステム管理者が環境設定を構成、構成解除、および設定できることを考えると…

…では、詐欺師がシステム管理者*である場合、彼らはすでに勝利を収めているようなものです。

そのため、事前にそれらを見つける必要があります。

そのため、私たちはそれを可能な限り難しくし、できる限り多くの保護層を提供して、侵入する前にこのことを止めようとします.

そして、私たちがそれについて話している間、ダグ（これがセールスシュピールのように聞こえたくありませんが、それは私がむしろ気に入っているソフトウェアの機能にすぎません）...

私が「積極的な敵対者」コンポーネントと呼んでいるものがあります！

言い換えれば、たとえば、システム管理者がまったくしない、またはそのようにしないなどのことを強く示唆する動作をネットワーク上で検出した場合…

…「アクティブな敵対者」は、次のように言います。 現時点では、保護を通常よりも高いレベルに引き上げます。」

これは優れた機能です。なぜなら、詐欺師がネットワークに侵入して不愉快なことをしようとしても、気付くまで待つ必要がなく、*その後*、「どのダイヤルを変更しようか?」と判断する必要がないからです。

Doug さん、これは一見単純な質問に対するかなり長い回答でした。

しかし、Naked Security に関するコメントへの返信で私が書いたことを読んでおきましょう。

私たちの目標は、ランサムウェアだけでなく、あらゆる種類のサイバー攻撃に対して、常に注意を払い、可能な限り早期に、自動的に、安全かつ断固として介入することです。

---

ダグ。   よし、よく言った！

アンディ、送ってくれてどうもありがとう。

投稿したい興味深いストーリー、コメント、質問がある場合は、ポッドキャストで読んでください。

tips@sophos.com に電子メールを送信するか、ソフォスの記事にコメントするか、ソーシャル (@NakedSecurity) で連絡してください。

それが今日の私たちのショーです。 聞いてくれてありがとう。

ポール・ダックリンについては、私はダグ・エイモスです。 次回までに…

---

どちらも。   安全を確保してください！

【ミュージックモデム】