S3 Ep113: Pwning kernel-ul Windows - escrocii care au păcălit Microsoft [Audio + Text]

Faceți clic și trageți pe undele sonore de mai jos pentru a trece la orice punct. Poti de asemenea asculta direct pe Soundcloud.

DOUG.  Spyware wireless, skimming carduri de credit și patch-uri din belșug.

Toate acestea și multe altele pe podcastul Naked Security.

[MODEM MUZICAL]

Bine ați venit la podcast, toată lumea.

Eu sunt Doug Aamoth; el este Paul Ducklin.

Paul, ce faci?

---

RAȚĂ.  Sunt foarte bine, Doug.

Rece, dar bine.

---

DOUG.  Și aici îngheață și toată lumea este bolnavă... dar asta e decembrie pentru tine.

Apropo de decembrie, ne place să începem spectacolul cu al nostru Săptămâna aceasta în istoria tehnologiei segment.

Avem o intrare interesantă în această săptămână – la 16 decembrie 2003, Legea CAN-SPAM a fost semnată de către președintele american de atunci George W. Bush.

Un backronym pentru controlarea atacului pornografiei și marketingului nesolicitat, CAN-SPAM a fost văzut ca fiind relativ lipsit de dinți din motive precum faptul că nu este necesar consimțământul destinatarilor pentru a primi e-mailuri de marketing și nu le permite persoanelor să dea în judecată spammerii.

Se credea că, până în 2004, mai puțin de 1% din spam se conforma de fapt cu Legea.

---

RAȚĂ.  Da, este ușor să spui asta cu retrospectivă...

…dar așa cum unii dintre noi au glumit atunci, ne-am gândit că l-au numit CAN-SPAM pentru că asta este *exact* ceea ce poți face. [RÂSETE]

---

DOUG.  „Puteți trimite spam!”

---

RAȚĂ.  Cred că ideea a fost „Să începem cu o abordare foarte blândă.”

[TON GRĂCIT] Deci a fost începutul, desigur, nu atât de mult.

---

DOUG.  [RÂDE] Vom ajunge acolo până la urmă.

Apropo de rău și mai rău...

…Microsoft Patch Tuesday – nimic de văzut aici, decât dacă numiți a driver kernel rău intenționat semnat?!

Software-ul malware al driverului semnat urcă în lanțul de încredere al software-ului

---

RAȚĂ.  Ei bine, mai multe de fapt – echipa Sophos Rapid Response a găsit aceste artefacte în angajamentele pe care le-au făcut.

Nu doar Sophos – cel puțin alte două grupuri de cercetare în domeniul securității cibernetice sunt enumerate de Microsoft ca fiind întâlnite în ultima vreme peste aceste lucruri: drivere de kernel cărora li s-a acordat efectiv un sigiliu digital de aprobare de la Microsoft.

Microsoft are acum un aviz care dă vina pe partenerii necinstiți.

Fie că au creat de fapt o companie care s-a prefăcut că produce hardware, în special pentru a se alătura programului de drivere cu intenția de a strecura drivere de kernel îndoielnice?

Sau dacă au mituit o companie care făcea deja parte din program pentru a juca mingea cu ei?

Sau dacă au piratat o companie care nici măcar nu și-a dat seama că a fost folosită ca vehicul pentru a-i spune lui Microsoft: „Hei, trebuie să producem acest driver de kernel – îl vei certifica?”…

Problema cu driverele de kernel certificate, desigur, este pentru că acestea trebuie să fie semnate de Microsoft și pentru că semnarea driverului este obligatorie pe Windows, înseamnă că, dacă puteți să vă semnați driverul de kernel, nu aveți nevoie de hack-uri sau vulnerabilități sau exploit pentru a putea încărca unul ca parte a unui atac cibernetic.

Puteți instala driverul și sistemul va spune „Oh, e semnat. Prin urmare, este permis să-l încărcați.”

Și, desigur, puteți face mult mai multe daune atunci când vă aflați în interiorul nucleului decât atunci când sunteți „doar” Administrator.

În special, aveți acces din interior la managementul proceselor.

În calitate de administrator, puteți rula un program care spune „Vreau să opresc programul XYZ”, care ar putea fi, de exemplu, un antivirus sau un instrument de vânătoare de amenințări.

Și acel program poate rezista la închidere, deoarece, presupunând că este și el la nivel de administrator, niciun proces nu poate pretinde în mod absolut primatul asupra celuilalt.

Dar dacă ești în interiorul sistemului de operare, acesta este sistemul de operare care se ocupă cu pornirea și finalizarea proceselor, astfel încât obții mult mai multă putere pentru a distruge lucruri precum software-ul de securitate...

… și se pare că exact asta făceau acești escroci.

În „istoria care se repetă”, îmi amintesc, cu ani și ani în urmă, când investigam software-ul pe care escrocii îl foloseau pentru a termina programele de securitate, aveau de obicei liste cu între 100 și 200 de procese pe care erau interesați să le distrugă: sistemul de operare procese, programe antivirus de la 20 de furnizori diferiți, tot felul de lucruri.

Și de data aceasta, cred că au fost 186 de programe pe care șoferul lor a fost acolo pentru a le ucide.

Deci un pic de rușine pentru Microsoft.

Din fericire, acum i-au scos pe acei programatori necinstiți din programul lor de dezvoltatori și au listat cel puțin toți driverele necunoscute cunoscute.

---

DOUG.  Deci nu e tot ce a fost dezvăluit pe Patch Tuesday.

Au existat, de asemenea, câteva zile zero, câteva erori RCE și alte lucruri de acest fel:

Patch Tuesday: 0-zile, erori RCE și o poveste curioasă despre programe malware semnate

---

RAȚĂ.  Da.

Din fericire, erorile zero-day remediate luna aceasta nu au fost cunoscute sub numele de RCE-uri sau executarea codului de la distanță găuri.

Așa că nu au oferit o rută directă pentru atacatorii din afară doar pentru a sări în rețeaua ta și a rula orice doreau.

Dar a existat o eroare a driverului de kernel în DirectX care ar permite cuiva care era deja pe computerul tău să se promoveze pentru a avea puteri la nivel de kernel.

Deci este un pic ca și cum ai aduce propriul șofer semnat – *știi* că îl poți încărca.

În acest caz, exploatați o eroare într-un driver care este de încredere și care vă permite să faceți lucruri în interiorul nucleului.

Evident, acesta este genul de lucru care transformă un atac cibernetic care este deja o veste proastă în ceva foarte, foarte mult mai rău.

Așa că cu siguranță doriți să remediați asta.

În mod intrigant, se pare că asta se aplică doar celei mai recente versiuni, adică 2022H2 (a doua jumătate a anului este ceea ce înseamnă H2) din Windows 11.

Cu siguranță vrei să te asiguri că ai asta.

Și a existat o eroare intrigantă în Windows SmartScreen, care este practic instrumentul de filtrare Windows care atunci când încercați să descărcați ceva care ar putea fi sau este periculos, vă dă un avertisment.

Deci, evident, dacă escrocii au găsit: „Oh, nu! Avem acest atac malware și funcționa foarte bine, dar acum Smart Screen îl blochează, ce vom face?”…

…fie pot fugi și construi un atac complet nou, fie pot găsi o vulnerabilitate care îi permite să ocolească Smart Screen, astfel încât avertismentul să nu apară.

Și exact asta s-a întâmplat în CVE-2022-44698, Douglas.

Deci, acestea sunt zilele zero.

După cum ați spus, există câteva erori de execuție a codului de la distanță în amestec, dar niciuna dintre acestea nu este cunoscută ca fiind în sălbăticie.

Dacă îi împotriviți, treceți înaintea escrocilor, mai degrabă decât pur și simplu să ajungeți din urmă.

---

DOUG.  OK, să rămânem la subiectul patch-urilor...

… și îmi place prima parte din asta titlu.

Spune doar „Apple corectează totul”:

Apple corectează totul, dezvăluie în sfârșit misterul iOS 16.1.2

---

RAȚĂ.  Da, nu m-am putut gândi la o modalitate de a enumera toate sistemele de operare în 70 de caractere sau mai puțin. [RÂSETE]

Așa că m-am gândit: „Ei bine, acesta este literalmente totul”.

Și problema este că ultima dată când am scris despre o actualizare Apple, așa a fost doar iOS (iPhone) și numai iOS 16.1.2:

Apple lansează o actualizare de securitate iOS, care este mai strânsă ca niciodată

Deci, dacă ai avea iOS 15, ce trebuia să faci?

Ai fost în pericol?

Aveai de gând să primești actualizarea mai târziu?

De data aceasta, știrile despre ultima actualizare au ieșit în sfârșit la spălare.

Se pare, Doug, că motivul pentru care am primit actualizarea iOS 16.1.2 este că a existat o exploatare în sălbăticie, cunoscută acum sub numele de CVE-2022-42856, și aceasta a fost o eroare în WebKit, motorul de randare web. în interiorul sistemelor de operare Apple.

Și, aparent, acea eroare ar putea fi declanșată pur și simplu prin ademenirea dvs. să vizualizați un conținut cu capcane - ceea ce este cunoscut în comerț ca un instalare driveby, unde doar aruncați o privire la o pagină și, „O, dragă”, în fundal, se instalează malware.

Acum, se pare, exploit-ul care a fost găsit a funcționat doar pe iOS.

Acesta este probabil motivul pentru care Apple nu s-a grăbit să scoată actualizări pentru toate celelalte platforme, deși macOS (toate cele trei versiuni acceptate), tvOS, iPadOS... toate conțineau de fapt această eroare.

Singurul sistem care nu a fost, se pare, watchOS.

Deci, acea eroare se afla în aproape toate software-urile Apple, dar se pare că era doar exploatabil, din câte știau ei, printr-o exploatare în sălbăticie, pe iOS.

Dar acum, în mod ciudat, spun „Numai pe iOS-uri înainte de 15.1”, ceea ce te face să te întrebi „De ce nu au lansat o actualizare pentru iOS 15, în acest caz?”

Doar că nu știm!

Poate că sperau că, dacă lansează iOS 16.1.2, unii oameni de pe iOS 15 s-ar actualiza oricum, iar asta le-ar rezolva problema?

Sau poate că nu erau încă siguri că iOS 16 nu era vulnerabil și a fost mai rapid și mai ușor să lanseze actualizarea (pentru care au un proces bine definit), decât să facă suficiente teste pentru a determina că eroarea ar putea" nu poate fi exploatat cu ușurință pe iOS 16.

Probabil că nu vom ști niciodată, Doug, dar este o poveste de fundal fascinantă în toate acestea!

Dar, într-adevăr, așa cum ați spus, există o actualizare pentru toată lumea cu un produs cu sigla Apple pe el.

Deci: Nu amâna/Fă-o astăzi.

---

DOUG.  Să trecem la prietenii noștri de la Universitatea Ben-Gurion... au revenit la asta.

Ei au dezvoltat niște programe spion fără fir – un pic ingenios truc de spyware fără fir:

COVID-bit: trucul spyware fără fir cu un nume nefericit

---

RAȚĂ.  Da... Nu sunt sigur de nume; Nu știu la ce se gândeau ei acolo.

Au numit-o COVID-bit.

---

DOUG.  Puțin ciudat.

---

RAȚĂ.  Cred că toți am fost mușcați de COVID într-un fel sau altul...

---

DOUG.  Poate asta e?

---

RAȚĂ.   COV este menit să reprezinte ascuns, și ei nu spun ce ID-bit înseamnă.

Am ghicit că ar putea fi „dezvăluire de informații bit cu bit”, dar este totuși o poveste fascinantă.

Ne place să scriem despre cercetările pe care le face acest Departament pentru că, deși pentru cei mai mulți dintre noi este puțin ipotetic...

… se uită la modul de a încălca golurile rețelei, care este locul în care rulați o rețea securizată pe care o păstrați în mod deliberat separată de orice altceva.

Deci, pentru cei mai mulți dintre noi, aceasta nu este o problemă mare, cel puțin acasă.

Dar ceea ce se uită la ei este că *chiar dacă închideți fizic o rețea de alta*, iar în aceste zile intrați și smulgeți toate cardurile wireless, cardurile Bluetooth, cardurile de comunicații în câmp apropiat sau tăiați firele și rupeți. urme de circuit pe placa de circuit pentru a opri orice conectivitate fără fir...

… mai există o modalitate prin care fie un atacator care obține acces unic la zona securizată, fie un insider corupt, ar putea scurge date într-un mod în mare măsură imposibil de urmărit?

Și, din păcate, se dovedește că etanșarea unei rețele de echipamente informatice în întregime de la alta este mult mai dificilă decât crezi.

Cititorii obișnuiți vor ști că am scris despre o mulțime de lucruri pe care acești tipi au mai inventat.

Au avut GAIROSCOPE, care este locul în care reutilizați de fapt telefonul mobil cip busolă ca microfon de joasă fidelitate.

---

DOUG.  [RÂDE] Îmi amintesc de aceea:

Încălcarea securității spațiului de aer: folosiți giroscopul telefonului ca microfon

---

RAȚĂ.  Pentru că acele cipuri pot simți vibrațiile destul de bine.

Au avut LANTENNA, care este locul în care puneți semnale într-o rețea cu fir care se află în interiorul zonei securizate, iar cablurile de rețea acționează de fapt ca posturi de radio în miniatură.

Ei scurg doar suficientă radiație electromagnetică încât ați putea să o puteți prelua în afara zonei securizate, așa că folosesc o rețea cu fir ca transmițător fără fir.

Și au avut o chestie pe care l-au numit în glumă FANSMITTER, care este locul unde te duci: „Ei bine, putem face semnale audio? Evident, dacă doar redăm melodii prin difuzor, cum ar fi [zgomote de apelare] bip-bip-bip-bip-bip, va fi destul de evident.”

Dar dacă variam sarcina procesorului, astfel încât ventilatorul să accelereze și să încetinească - am putea folosi modificarea vitezei ventilatorului aproape ca un fel de semnal semafor?

Poate fi folosit ventilatorul computerului pentru a vă spiona?

Și în acest ultim atac, s-au gândit: „Cum altfel putem transforma ceva în aproape fiecare computer din lume, ceva care pare suficient de nevinovat... cum îl putem transforma într-o stație radio de foarte, foarte mică putere?”

Și în acest caz, au reușit să o facă folosind sursa de alimentare.

Au putut să o facă într-un Raspberry Pi, într-un laptop Dell și într-o varietate de computere desktop.

Ei folosesc sursa de alimentare proprie a computerului, care practic face comutare de foarte, foarte înaltă frecvență DC pentru a tăia o tensiune de curent continuu, de obicei pentru a o reduce, de sute de mii sau milioane de ori pe secundă.

Ei au găsit o modalitate de a face ca asta să curgă radiații electromagnetice - unde radio pe care le puteau capta până la 2 metri distanță de pe un telefon mobil...

…chiar dacă acel telefon mobil avea toate elementele wireless oprite sau chiar scoase de pe dispozitiv.

Trucul cu care au venit este: schimbi viteza cu care se comută și detectezi modificările frecvenței de comutare.

Imaginați-vă, dacă doriți o tensiune mai mică (dacă doriți, de exemplu, să reduceți 12V la 4V), unda pătrată va fi activată pentru o treime din timp și oprită pentru două treimi din timp.

Dacă doriți 2V, atunci trebuie să schimbați raportul în consecință.

Și se pare că procesoarele moderne își variază atât frecvența, cât și tensiunea pentru a gestiona puterea și supraîncălzirea.

Deci, modificând încărcarea procesorului pe unul sau mai multe dintre nucleele procesorului - doar prin creșterea sarcinilor și reducerea sarcinilor la o frecvență relativ scăzută, între 5000 și 8000 de ori pe secundă - au reușit să obțină modul comutat. sursa de alimentare pentru a *schimba modurile de comutare* la acele frecvențe joase.

Și asta a generat emisii radio de frecvență foarte joasă din urmele circuitelor sau din orice fir de cupru din sursa de alimentare.

Și au fost capabili să detecteze acele emanații folosind o antenă radio care nu era mai sofisticată decât o simplă buclă de fir!

Deci, ce faci cu o buclă de sârmă?

Ei bine, te prefaci, Doug, că este un cablu de microfon sau un cablu de căști.

Îl conectezi la o mufă audio de 3.5 mm și îl conectezi la telefonul mobil ca și cum ar fi un set de căști...

---

DOUG.  Wow.

---

RAȚĂ.  Înregistrați semnalul audio care este generat din bucla de fir – pentru că semnalul audio este practic o reprezentare digitală a semnalului radio de frecvență foarte joasă pe care l-ați captat.

Au fost capabili să extragă date din acesta la o viteză între 100 de biți pe secundă când foloseau laptopul, 200 de biți pe secundă cu Raspberry Pi și oriunde până la 1000 de biți pe secundă, cu o rată de eroare foarte scăzută, de la computerele desktop.

Puteți obține lucruri precum chei AES, chei RSA, chiar și fișiere de date mici la acest tip de viteză.

Am crezut că este o poveste fascinantă.

Dacă conduceți o zonă sigură, cu siguranță doriți să țineți pasul cu aceste lucruri, pentru că așa cum spune vechea zicală, „Atacurile devin doar mai bune sau mai inteligente”.

---

DOUG.  Și tehnologie inferioară. [RÂSETE]

Totul este digital, cu excepția faptului că avem această scurgere analogică care este folosită pentru a fura cheile AES.

E fascinant!

---

RAȚĂ.  Doar un reamintire că trebuie să vă gândiți la ce se află de cealaltă parte a zidului securizat, pentru că „în afara vederii nu este neapărat în minte”.

---

DOUG.  Ei bine, asta se potrivește bine cu noi povestea finală – ceva care nu este din vedere, dar nu din minte:

Skimming card de credit – drumul lung și sinuos al eșecului lanțului de aprovizionare

Dacă ați creat vreodată o pagină web, știți că puteți introduce un cod de analiză - o mică linie de JavaScript - acolo pentru Google Analytics sau companii ca acesta, pentru a vedea cum sunt statisticile dvs.

A existat o companie de analiză gratuită numită Cockpit la începutul anilor 2010, așa că oamenii puneau acest cod Cockpit – această mică linie de JavaScript – în paginile lor web.

Dar Cockpit s-a închis în 2014 și a lăsat numele de domeniu să cadă.

Și apoi, în 2021, infractorii cibernetici s-au gândit: „Unele site-uri de comerț electronic încă mai lasă acest cod să ruleze; ei încă numesc acest JavaScript. De ce nu cumpărăm numele de domeniu și apoi putem injecta orice vrem în aceste site-uri care încă nu au eliminat acea linie de JavaScript?”

---

RAȚĂ.  Da.

Ce ar putea merge bine, Doug?

---

DOUG.  [RÂDE] Exact!

---

RAȚĂ.  Șapte ani!

Ar fi avut o intrare în toate jurnalele lor de testare care spunea: Could not source the file cockpit.js (sau orice ar fi fost) from site cockpit.jp, Cred că a fost.

Deci, după cum spuneți, când escrocii au luminat din nou domeniul și au început să pună fișiere acolo pentru a vedea ce se va întâmpla...

…au observat că multe site-uri de comerț electronic consumau și executau în mod orbește și fericit codul JavaScript al escrocilor în browserele web ale clienților lor.

---

DOUG.  [RAD] „Hei, site-ul meu nu mai afișează o eroare, funcționează.”

---

RAȚĂ.  [INCREDUL] „Trebuie să fi remediat”... pentru o înțelegere specială a cuvântului „remediat”, Doug.

Desigur, dacă puteți injecta JavaScript arbitrar în pagina web a cuiva, atunci puteți face ca pagina web să facă orice doriți.

Și dacă, în special, vizați site-uri de comerț electronic, puteți seta ceea ce este în esență cod spyware pentru a căuta anumite pagini care au anumite formulare web cu anumite câmpuri numite pe ele...

…cum ar fi numărul pașaportului, numărul cardului de credit, CVV, oricare ar fi acesta.

Și, practic, puteți elimina toate datele confidențiale necriptate, datele personale, pe care utilizatorul le introduce.

Încă nu a intrat în procesul de criptare HTTPS, așa că îl scoți din browser, îl criptezi HTTPS *însuți* și îl trimiți într-o bază de date condusă de escroci.

Și, desigur, celălalt lucru pe care îl puteți face este că puteți modifica în mod activ paginile web când ajung.

Deci, puteți atrage pe cineva către un site web – unul care este site-ul *potrivit*; este un site web pe care au mers înainte, în care știu că pot avea încredere (sau cred că pot avea încredere).

Dacă există un formular web pe acel site care, să zicem, le cere de obicei numele și numărul de referință al contului, ei bine, rămâneți în câteva câmpuri suplimentare și, având în vedere că persoana are deja încredere în site...

… dacă spui nume, ID și [adăugați] data nașterii?

Este foarte probabil să-și introducă data de naștere pentru că își dau seama: „Presupun că face parte din verificarea identității lor”.

---

DOUG.  Acest lucru este de evitat.

Ai putea începe prin revizuirea legăturilor lanțului dvs. de aprovizionare bazate pe web.

---

RAȚĂ.  Da.

Poate o dată la șapte ani ar fi un început? [RÂSETE]

Dacă nu cauți, atunci ești cu adevărat o parte a problemei, nu o parte a soluției.

---

DOUG.  Ai putea, de asemenea, oh, nu știu... verificați-vă jurnalele?

---

RAȚĂ.  Da.

Din nou, o dată la șapte ani ar putea fi început?

Lasă-mă să spun ce am mai spus pe podcast, Doug...

…dacă veți strânge bușteni la care nu vă uitați niciodată, *nu vă deranjați deloc să le strângeți*.

Nu mai glumiți și nu adunați datele.

Pentru că, de fapt, cel mai bun lucru care se poate întâmpla cu datele dacă le colectați și nu le priviți, este că oamenii greșiți nu vor ajunge la ele din greșeală.

---

DOUG.  Apoi, desigur, efectuați tranzacții de testare în mod regulat.

---

RAȚĂ.  Ar trebui să spun: „O dată la șapte ani ar fi un început”? [RÂSETE]

---

DOUG.  Desigur, da... [WRY] asta ar putea fi destul de regulat, presupun.

---

RAȚĂ.  Dacă sunteți o companie de comerț electronic și vă așteptați ca utilizatorii să vă viziteze site-ul web, să se obișnuiască cu un anumit aspect și să aibă încredere în el...

… atunci le datorezi să verifice dacă aspectul și senzația sunt corecte.

În mod regulat și frecvent.

Ușor ca asta.

---

DOUG.  OK foarte bine.

Și pe măsură ce spectacolul începe să se termine, să auzim de la unul dintre cititorii noștri despre această poveste.

Larry comentează:

Examinați legăturile lanțului dvs. de aprovizionare bazate pe web?

Mi-ar fi dorit ca Epic Software să fi făcut acest lucru înainte de a expedia eroarea de urmărire Meta către toți clienții lor.

Sunt convins că există o nouă generație de dezvoltatori care cred că dezvoltarea înseamnă să găsească fragmente de cod oriunde pe internet și să le insereze necritic în produsul lor de lucru.

---

RAȚĂ.  Dacă nu am dezvolta un astfel de cod...

…unde te duci, „Știu, voi folosi această bibliotecă; Îl voi descărca de pe această fantastică pagină GitHub pe care am găsit-o.

Oh, are nevoie de o mulțime de alte lucruri!?

Uite, poate satisface cerințele automat... ei bine, hai să facem asta atunci!”

Din păcate, trebuie să *ți deții lanțul de aprovizionare* și asta înseamnă să înțelegi tot ceea ce se întâmplă în el.

Dacă vă gândiți la Lista materialelor software [SBoM], drum, unde vă gândiți: „Da, voi enumera tot ceea ce folosesc”, nu este suficient să enumerați primul nivel de lucruri pe care le utilizați.

De asemenea, trebuie să știți și să fiți capabil să documentați și să știți că puteți avea încredere în toate lucrurile de care depind acele lucruri și așa mai departe și așa mai departe:

Little fleas have lesser fleas 
   Upon their backs to bite 'em
And lesser fleas have lesser fleas
   And so ad infinitum.

*Așa* trebuie să-ți alungi lanțul de aprovizionare!

---

DOUG.  Bine zis!

Bine, mulțumesc foarte mult, Larry, pentru că ai trimis acest comentariu.

Dacă aveți o poveste, un comentariu sau o întrebare interesantă pe care doriți să o trimiteți, ne-ar plăcea să o citim pe podcast.

Puteți trimite un e-mail la tips@sophos.com, puteți comenta oricare dintre articolele noastre sau ne puteți contacta pe social: @NakedSecurity.

Acesta este spectacolul nostru de astăzi; multumesc mult pentru ascultare.

Pentru Paul Ducklin, sunt Doug Aamoth și vă reamintesc, până data viitoare, să...

---

AMBII.  Rămâi în siguranță!

[MODEM MUZICAL]