Bashware ve Benzer Tehditleri Anlamak ve Azaltmak

Bashware ve Benzer Tehditleri Anlamak ve Azaltmak

Zaman Damgası: 20 Eylül 2017 1:07

İyi kötü amaçlı yazılım diye bir şey yoktur. Okuma zamanı: 3 dakika

Bir işletim sisteminin her bileşeni yeni işlevler ekler ve aynı zamanda yeni kötü amaçlı yazılım formları için potansiyel açıklıklar oluşturur. Son zamanlarda, şu anda Microsoft Windows 10'un bir parçası olan Linux için Microsoft Windows alt sistemi (WSL) ile potansiyel bir risk tespit edildi.

Yazma sırasında bunun sadece potansiyel bir istismar olduğuna ve henüz kötü amaçlı yazılım tarafından kullanıldığını gördüğümüz bir istisna olmadığına dikkat edilmelidir.

Bu özelliğin olası güvenlik sonuçları ve güvenlik yazılımlarının çoğuyla nasıl baş edemediği, geçen yıl Alex Ionescu tarafından Black Hat'ta ayrıntılı olarak tartışıldı (İşte video https://www.youtube.com/watch?v=_p3RtkwstNk).

Sorun, WSL'nin Windows PC'de sorunsuz bir şekilde Ubuntu Linux örneğini çalıştırmasıdır, böylece bir kötü amaçlı yazılım parçası bilgisayarda çalışırken bu Linux örneğinin içinde gizlenebilir.
Bu, geleneksel bir algılama tabanlı çözümün ele alınması için çok zor bir durum yaratır.

Süreç aşağıdaki gibi olacaktır:

  1. Kullanıcı daha önce dosya tarafından tanımlanmamış bir dosyayı indirir ve yürütür. antivirüs kurulan ürünler ve bu nedenle, antivirüs yazılımı sistem.
  2. Yürütme dosyası, Linux için Windows Alt Sistemini (WSL) etkinleştirir ve bash.exe komutunu çalıştırarak Docker kapsayıcısına benzer şekilde ayarlar. Bash.exe komutunun eklenebilecek birkaç parametresi vardır, bu nedenle dosyasız kötü amaçlı yazılım yürütme potansiyeline de sahiptir.
  3. Kötü amaçlı yazılım yürütme dosyası Linux örneğinin içine kötü amaçlı bir yük yükler ve bu yükü yürütür.
  4. Kötü amaçlı yazılım Windows içindeki bir Linux kapsayıcısında çalıştığından, Windows ortamındaki virüsten koruma ürünleri onu görmez.

Bu noktada, Comodo'nun Internet Security ve Comodo Advanced Son Nokta Koruması (AEP) bu saldırı biçimini durdururdu.

1. Adımda, dropper.exe algılanmayacağından, bilinmeyen dosya ve bir Comodo Kapsayıcısında yürütülür.

Bu nedenle, adım 2 çalışmaz, çünkü dropper.exe bash.exe dosyasını çalıştırmaya çalıştığında, bash.exe Comodo konteynerinin içinde de çalışır ve bu da LxssManager ile tüm COM tabanlı iletişimini engeller. Bu nedenle Bash.exe bir hata üretecektir:

kötü amaçlı yazılım bloğu

Comodo, sabit disk, Kayıt Defteri ve COM'u sanallaştıran ve dosya ve dosyasız kötü amaçlı yazılımların, daha önce kötü amaçlı yazılım. Güvenlik durumu bilinmeyen bir dosya yürütmeye çalıştığında, sanal bir kapsayıcıda bulunur ve bash.exe komutu çalışmaya çalıştığında, COM'a erişimi engellenir. Bu, bash yürütmesinde bir hata oluşturur ve terminal penceresi, içerdiği durumunu gösteren yeşil bir kenarlıkla çevrelenir.

Hem dosya tabanlı hem de dosyasız kötü amaçlı yazılım Comodo'nun çözümü tarafından durdurulur. Comodo'nun kapsayıcıları, çalışan uygulamalar için COM / LPC desteği sağlamak için özel bir sanal COM / LPC alt sistemine sahiptir. LxssManager'ın COM arabirimleri şu anda kapsayıcı içinde kasıtlı olarak etkinleştirilmemiştir ve teknoloji olgunlaştıktan sonra etkinleştirilecektir. Görmek https://github.com/ionescu007/lxss/blob/master/WSL-BlueHat-Final.pdf mevcut sorunlar için.

Bir tedarikçi olarak, 2009'dan beri on yıldan uzun bir süredir kötü amaçlı yazılım savunması için sanallaştırma tabanlı güvenlik kullanıyoruz. Ve sanallaştırma kullanma maliyeti düştükçe, bu modelin pratikliği arttı.

Yukarıda açıklanan yöntem, kötü amaçlı yazılım yazarlarının bir sanallaştırma sonrası dönemde güvenlik yazılımını atlayabilmelerinin birçok yolundan biridir.

Alakalı kaynaklar:

En İyi Antivirüs Yazılımı

DENEME SÜRÜMÜNE BAŞLA ANINDA GÜVENLİK PUANINI ÜCRETSİZ ALIN

Zaman Damgası:

Den fazla Siber Güvenlik