Zrozumienie i łagodzenie Bashware i podobnych zagrożeń

Zrozumienie i łagodzenie Bashware i podobnych zagrożeń

Znacznik czasu: 20 września 2017 1:07

Nie ma czegoś takiego jak dobre złośliwe oprogramowanie Czas czytania: 3 minuty

Każdy składnik systemu operacyjnego dodaje nowe funkcje, a jednocześnie stwarza potencjalne możliwości dla nowych form złośliwego oprogramowania. Niedawno zidentyfikowano potencjalne zagrożenie z podsystemem Microsoft Windows dla systemu Linux (WSL), który jest teraz częścią systemu Microsoft Windows 10.

Należy zauważyć, że w chwili pisania tego tekstu jest to tylko potencjalny exploit, a na razie nie taki, z którego korzystało złośliwe oprogramowanie.

Potencjalne konsekwencje tej funkcji dla bezpieczeństwa oraz sposób, w jaki większość programów zabezpieczających nie radzi sobie z nią, zostały szczegółowo omówione przez Alex Ionescu w zeszłym roku w Black Hat (tutaj jest wideo https://www.youtube.com/watch?v=_p3RtkwstNk).

Problem polega na tym, że WSL bezproblemowo uruchamia wystąpienie Ubuntu Linux na komputerze z systemem Windows, tak że kawałek złośliwego oprogramowania może ukryć się w tej instancji Linuksa podczas działania na komputerze.
Stwarza to sytuację, z którą bardzo trudno byłoby sobie poradzić w przypadku tradycyjnego rozwiązania opartego na wykrywaniu.

Proces wyglądałby następująco:

  1. Użytkownik pobiera i wykonuje plik, który nie został wcześniej zidentyfikowany przez antywirusowe zainstalowanych produktów i dlatego nie jest wykrywany przez oprogramowanie antywirusowe pomimo napiętego harmonogramu
  2. Plik wykonawczy włącza podsystem systemu Windows dla systemu Linux (WSL) i konfiguruje go w podobny sposób do kontenera Docker, uruchamiając polecenie bash.exe. Polecenie bash.exe ma wiele parametrów, które można dodać, więc może również uruchamiać złośliwe oprogramowanie bez plików.
  3. Plik wykonawczy złośliwego oprogramowania następnie instaluje złośliwy ładunek w instancji systemu Linux i wykonuje ten ładunek.
  4. Ponieważ złośliwe oprogramowanie działa w kontenerze systemu Linux w systemie Windows, produkty antywirusowe w środowisku Windows go nie widzą.

W tym miejscu należy zauważyć, że Comodo Internet Security i Comodo Advanced Ochrona punktów końcowych (AEP) powstrzymałby tę formę ataku.

W kroku 1, ponieważ dropper.exe nie zostanie wykryty, zostanie potraktowany jako plik brak pliku i zostanie wykonany w kontenerze Comodo.

Dlatego krok 2 nie zadziała, ponieważ gdy dropper.exe próbuje wykonać bash.exe, bash.exe będzie również działał w kontenerze Comodo, który blokuje całą komunikację opartą na COM z LxssManager. W związku z tym Bash.exe spowoduje błąd:

blokada złośliwego oprogramowania

Comodo wykorzystuje technologię powstrzymywania, która wirtualizuje dysk twardy, rejestr i COM, co zapobiega złośliwej aktywności plików i złośliwego oprogramowania bez plików, nawet jeśli plik nie został wcześniej zidentyfikowany jako malware. Gdy plik o nieznanym stanie zabezpieczeń próbuje się uruchomić, znajduje się w wirtualnym kontenerze, a gdy polecenie bash.exe próbuje uruchomić, jego dostęp do COM zostanie zablokowany. Spowoduje to błąd w wykonaniu basha, a okno terminala zostanie otoczone zieloną ramką, wskazującą jego status.

Rozwiązanie Comodo zatrzymuje zarówno złośliwe oprogramowanie oparte na plikach, jak i bez plików. Kontenery Comodo mają zastrzeżony wirtualny podsystem COM / LPC zapewniający obsługę COM / LPC dla uruchomionych aplikacji. Interfejsy COM LxssManagera nie są teraz celowo włączone w kontenerze i zostaną włączone, gdy technologia dojrzeje. Widzieć https://github.com/ionescu007/lxss/blob/master/WSL-BlueHat-Final.pdf dla aktualnych problemów.

Jako dostawca używamy zabezpieczeń opartych na wirtualizacji do ochrony przed złośliwym oprogramowaniem od ponad dziesięciu lat, od 2009 r. Wraz ze spadkiem kosztów korzystania z wirtualizacji wzrosła praktyczność tego modelu.

Opisana powyżej metoda jest jednym z wielu sposobów, w jakie twórcy szkodliwego oprogramowania mogą ominąć oprogramowanie zabezpieczające w erze po wirtualizacji.

Powiązane zasoby:

Najlepsze oprogramowanie antywirusowe

ROZPOCZNIJ DARMOWY OKRES PRÓBNY ODBIERZ SWOJĄ NATYCHMIASTOWĄ KARTĘ BEZPIECZEŃSTWA ZA DARMO

Znak czasu:

Więcej z Cyberbezpieczeństwo Comodo