Na konferencji Hack In The Box (HITB) w Dubaju Vipin i Nitin Kumarowie zaprezentowali narzędzie pozwalające na przejęcie całkowitej zdalnej kontroli nad komputerem z Windows 7 bez wiedzy właściciela. Jak mówi jeden z autorów, nie da się naprawić tego błędu ze względów konstrukcyjnych.
VBootkit 2.0 zajmuje 3 KB i pozwala, oprócz kontroli komputera, także na przechwycenie plików ofiary. Działa on dzięki luce w W7, umożliwiającej zmianę plików wczytywanych do RAM w trakcie ładowania systemu. Jak mówi Vipin Kumar:
Nie można rozwiązać ani naprawić tego problemu. Jest to kwestia błędu w konstrukcji systemu
Całe szczęście „łyżki miodu do beczki dziegciu” dodaje fakt, iż atak musi być przeprowadzony fizycznie – nie ma możliwości ataku zdalnego. Biorąc jednak pod uwagę, że według firmy ESET najwięcej infekcji bierze się z pendrive’ów, zagrożenie nadal jest wysokie.
Microsoft nie komentuje tej sprawy.
SPROSTOWANIE: Serwis chip.pl przekłamał nieco informacje. VBootkit 2.0 działa wyłącznie na maszynach wirtualnych. Za niedoinformowanie serdecznie przepraszam.
Nie wierzę w błędy nie do naprawienia, co najwyżej będą musieli wrzucić w kod jakiegoś brzydkiego hacka. Co nie zmienia faktu, że W7 zrobił sobie śliczną antyreklamę jeszcze przed premierą…
Technicznie wirtualna maszyna faktycznie działa trochę inaczej niż zwykła, ale system operacyjny o tym nie wie (po za dostępnością pewnych technologii).
Natomiast wszelkie bootkity działają doskonale na każdej maszynie nie tylko wirtualnej. Wystarczy rzucić okiem na Mebroot aka Sinowal MBR który korzysta z bootkitu do utrzymania obecności na kompie i wykonywania pewnych szkodliwych operacji.
Natomiast w żadnym wypadku nie jest to błąd w Windows 7! Każdy Windows jest podatny na działanie bootkitu, tak samo zresztą jak inne systemy operacyjne – a to z bardzo prostego powodu – kod który jest odpalany przed kodem systemu operacyjnego może odpowiednio ustawić środowisko (np. hook na obsługę przerwania 13h (BIOS, m.in. obsługa HDD) jest standardowym zabiegiem) i później modyfikować system operacyjny podczas ładowania w odpowiedni sposób. (inna sprawa to TPM)
VBootkit 2.0 jest kawałem dobrej roboty jeśli chodzi o programowanie niskopoziomowe, ale nazywanie go 'luką w Windows 7' świadczy o niezrozumieniu tematu przez autora, i szukania na siłę sensacji w miejscu w którym jej nie ma. (nie chodzi mi tu o Emdé, tylko o dziennikarzy którzy rozpoczęli całe nieporozumienie).
Po za tym samo włożenie w kompa pendrive'a totalnie nic nie daje – to jest BOOTkit – czyli komputer musi zostać z pendrive'a uruchomiony.
Wystarczy dowolna płyta z live CD z linuxem i wtedy komputer też jest dostepny jak otwarta księga – wszystkie pliki da się przejrzeć bez żadnych problemów…
To jest druga wersja exploita, pierwsza była dla Visty. Zatem nie tylko w Win7. Jeśli dobrze rozumiem problem polega na tym, że w momencie startu Windows zakłada, że kod w pamięci (np. obsługa przerwania 13h — dysk) jest czysty, bez żadnego złośliwego kodu. Jeśli coś wystartuje z pendrive'a, podmieni wektor przerwań i przeskoczy do bootloadera Windows (czy też np. Linuksa, lilo też pewnie korzysta z int 13h) to istnieje możliwość wykonania swojego kodu na jakimś tam niesamowicie wysokim poziomie.
O ile sam błąd nie wydaję mi się szczególnie groźny. O tyle może być przydatny do mijania różnego rodzaju podpisanych sterowników i innego DRM-owatego badziewia.
Ale zaraz? Obecnie bios-y nie pozwalają nawet ustalania kolejności przeszukiwania w poszukiwaniu bootloader-ów. Użytkownik musi wejść w takie ładne menu, aby wybrać pendrive. Tak jest w wielu laptopach.
Dla normalnego użytkownika błąd nie jest raczej zagrożeniem, jak sam napisałeś. Może być jednak przydatny.
A ja wszędzie gdzie spotykam to są dalej stare biosy gdzie trzeba zmieniać konfiguracje bootowania,a ostatnio to nawet jak siadam to takich komputerów i uruchamiam Slaxa to nie zmieniam z powrotem (nie mój komputer tylko publiczny gdzie są informatycy od naprawiania)przez co jest jakieś zagrożenie.
@Led: Nie na normalnym sprzecie. Kazdy chyba, kto mial jakies podstawy systemow operacyjnych, wie, ze jesli wczytujesz kawalek kodu do pamieci, to mozesz go przy okazji zmodyfikowac. W szczegolnosci, wstrzyknac sie do niego. Zwykle czlowiek uczy sie tego od kogos albo z ksiazki. Kumarowie najwyrazniej "odkryli to" sami, i sa z tego faktu bardzo dumni. Zycze sukcesow – moze kiedys odkryja "nieusuwalna dziure" w uniksowatych o nazwie ptrace(2)?
W trybie chronionym jest to raczej niemożliwe, albo ja mam przestarzałą wiedzę(pomijając fakt, że rzeczywiście większość systemów do niedawna to lekceważyła, umożliwiając zapis do sekcji kodu, co jest niezgodne z zasadą maszyny Von Neuman-a).
@Morswin: Nie masz przestarzalej, tylko niepełną. 😉
Bootloader laduje "dalsze stopnie" systemu do pamieci. Nie ma powodu, dla ktorego nie moglby zmodyfikowac kodu, ktory laduje. To, czy tryb jest chroniony (w Linuksie na tym etapie chyba nadal nie, w innych systemach zwykle chyba juz tak) czy nie, nie ma znaczenia – tak czy inaczej musisz zapisac kod systemu do pamieci, bo inaczej nie mialbys go jak wystartowac.
A co do zapisu do sekcji kodu – procesora nie obchodza "sekcje", procesor obchodza tablice stron. A tablice mozesz skonfigurowac, jak ci sie zywnie podoba – jesli ustawisz zezwolenie na zapis i jednoczesnie zezwolenie na wykonywanie, to bedziesz mogl i wykonywac, i zapisywac.
Wydaje mi się, że GRUB przełącza rejestr zawijania pamięci. Kiedyś na Binboy-u były publikowane tutoriale o pisaniu własnego jądra. Dzięki GRUB-owi uzyskiwaliśmy dosyć sporo(chyba nawet tryb chroniony!), jeżeli jądro było zgodne z multiboot.
Oj, chyba nie rozumiesz albo ironizujesz. Po podłączeniu np. zakażonego trojanem (który korzystałby z VBootkit) pendrive'a (które są przecież często przekazywane między ludzi) złapałbyś ten syf, a autor trojana miałby dostęp do twojego komputera – zdalnie.
EDIT:…tak jest napisane na chip.pl, jednak tutaj tego nie ma. Już poprawiam.
Tylko zauważ, że antywirus takie coś wykryje i zablokuje. Rozumiem, że część użytkowników nie korzysta takich rzeczy, ale nie przesadzajmy. Dziura nie do naprawienia. Jak coś to do W7 dodadzą kod sprawdzajacy czy takie cos nie podmieni czegos w przerwaniach i gucio. Albo wszystkie pliki ładowane podczas startu będą podpisane i tyle.
to jest odpowiedz na nieudolnosc – zainstaluj sobie antywirus, firewall, antyspyware, antymalware, adaware i inne anale po to, zeby bezpiecznie wejsc na google – wielki OKEJ dla ciebie
Ale jak spreparuje? Standardowo w Windows (zwłaszcza Vista/7) nie ma się dostępu do plików bootloadera (baa Vista/7 nie wystartuje jak pliki nie maja podpisu cyfrowego), a do zmodyfikowania plików systemowych potrzeba wyższych uprawnień. Więc zdalnie czy automatycznie raczej tego nie da się zrobić. Pozostaje nakłonienie do tego użytkownika, bądź uzyskanie fizycznego dostępu, a na tego typu ataki raczej nigdy nie znajdzie się zabezpieczenia 😉
Jest zabezpieczenie – dożywotni zakaz używania komputera i internetu dla idiotów którzy otwierają każdy link podsunięty przez Patii:*:* czy inną Kasiunię na GG 😉
Ooo to by się przydało tylko jest jeden problem. Otóż nagle mogło, by się okazać, że trzeba by odłączyć 90% internautów. Lepszym rozwiązaniem byłoby stworzenie obowiązkowego kursu w stylu "czego nie wolno robić w sieci"
Taaaa mają dostęp fizyczny można zrobić wszystko. Od dawna można coś takiego zrobić w systemach UNIX nie mówiąc o np.: RedHat. W RedHat jest to dziecinnie łatwe..
To, że OSNews jest portalem stronniczym to jeszcze da się zrozumieć. Ale poziom pisanych przez fanboyów newsów to już dramat. Więcej myślenia, mniej kopiowania newsów głośnych tylko w temacie.
p.s gdyby plusy robiły mi jakąś różnicę wklepałbym ich z 50.. wbrew pozorom to bardzo proste bez zmiany ip. ;p i mógłbyś siedzieć przy neostradzie, walic w modem, czyścić ciastka i cisnąć minusy i tak by to nic nie dało ;p
nic się nie rozpada. Wszystko jest ok. w testowych wersjach ff (niestabilnych) pojawia się błąd przy renderowaniu grafiki na stronie głównej ale to wina przeglądarki. ;p
Dobra wiadomość jest taka, że czy to Windows czy Linux – nie ma przed tym skutecznej obrony, zmodyfikowanie lilo czy gruba aby uzyskać coś podobnego dla 'jedynego słusznego systemu' też nie będzie problemem.
.
Podobne ataki proponowano (a i stosowano) w ubiegłym wieku, z użyciem innych nośników wymiennych – dyskietek. Sądząc po twoim zachowaniu to chyba jesteś z pokolenia, które dyskietki widziało tylko w muzeum.
daleko idący wniosek panie zadufany w sobie i kolejny wszystkowiedzący LV ;p
Co to za różnica (w przypadku infekowania) czy to dyskietka, karta pamięci czy pendrive?
Co do dyskietek i muzeum to panie wszystkowiedzący a jednak nie do końca to powiem panu, że do dziś można spotkac takie komputery (w sklepach) co mają napęd dyskietkowy. Jednak jest ich mało, ale są…
Jeśli chodzi panu o poprzednie generacje dyskietek to… delikatnie rzecz ujmując wówczas tyle komputerów domowych było podpiętych do sieci.. xDDDD ehhh… no właśnie…
Stwierdzam fakt. Nie uważam się za wszystkowiedzącego, piszę po prostu co widzę. Dlaczego nie napiszesz nic faktycznie sensownego? BTW co ma podpięcie do sieci do dyskietek? Pisałem o samym sposobie 'infekcji', reszta nie jest warta wzmianki – hipokryzja kilku kretynów, nie zaprezentowali *nic* nowego.
.
Kiedyś wirusy robiły praktycznie dokładnie to samo i *nikt* się tym nie zachwycał. W ubiegłym roku jednym z ciekawszych zagrożeń był bootkit, pewne koncepcje były podobne.
.
Pamiętasz może cracki do Visty zwracające fałszywe dane z biosu aby system uważał, że pracuje na licencjonowanym sprzęcie, jako OEM? Tam też dochodził zmodyfikowany bootloader i hooki na przerwania. Gdyby odpalić jeszcze nieco podkręcony loader z pendrive'a to… brzmi znajomo?
.
PS Czy jak zmodyfikuję lilo i odstawię taki cyrk to będę mógł ogłosić światu, że Linux zawiera krytyczne luki, których nie da się naprawić?
Wiesz? Mam sraszny ubaw.
Nadal nie widzę związku z dyskietkami.
Crack do Visty był na dyskietkach? A może postaci obrazu dyskietki?
Ja wiem, że backdoory da się zrobić wszedzie i przez nie wejść. Nie trzeba luk w systemie aby się do niego włamać…
Mam po prostu ubaw z Waszej reakcji. xD
Userów linuxa uwarza się za fanatyków bla bla bla bla… wytknij coś windowsowi to Cię dzieci zjedzą…
Kiedyś na DP pojawił się news o jakiejś luce w linuxie bodajrze… i dzieci windowsowe zaczęły się podniecać aż się wkurzyłem, wrzucłem IP i napisałem że jeżeli rzeczywiśce padł ten legendarny mit a linux jest dziurawy tak jak twierdzą (były komentarze porównujące linuxa do windowsa) to niech mi się włamią. Redakcja oburzona (dostali po głowie kiedyś od microsoftu i odnosze wrażenie, że działają pod ich silną dyrektywą) nie opublikowała komentarza z drugiego dnia w którym ich wyśmiałem. Ale mniejsza o to..
Kiedyś wrzuciłem (na forum dp) też screen z kominczym błędem na viście i dzieci zaczęły tak bluzgać że aż moderator dla świetego spokoju wywalił grafikę – tak! napisał mi na pw bo zpytałem czemu!!! xD i jeszcze screen ze skasowanym win7.. tam też był cyrk xD
Ciągle gada się na userów linuxa i jest stereotyp, że są fanatykami a tu kolejny obraz wielkiego oburzenia… Czytając niektórych po prostu padam pod biurko ze śmiechu…
Zacytuje:
"Będziesz miał np. 22 lata, to zauważysz jaką drogę przebyłeś od czasów gdy miałeś 13 lat. Co ja gadam! Już za 2 lata zauważysz, że się zmieniłeś. Poza nielicznmi wyjątkami dzieci nie powinny publikować."
To jest tak bezczelne i chamskie, że aż śmieszne!
Człowiek zauważył news o dosyć ostrym i chwytliwym tytule i postanowił go opublikować a wy w niego mięsem. xD
Niektórzy wiedzą że chip, idg itp nadrabiają braki ciekawych treści chwytliwymi tytułami (poza tym reszta to stek bzdur xD ) a drudzy nie… proste… ;p
A można było zakopać xD Ja dla checy wykopałem xD
Mam też ubaw z tych minusów… to jakaś po prostu komedia…
kiedyś zażartowałem że ja za nick dostaje tu minusy i…
patrz go:
"Kolejne minusy za samą tylko nazwę użytkownika. Nawet nie trzeba czytać, co piszesz, żeby wiedzieć, że ci się jak zwykle należy. ^,^ ^m^"
rzeczywiście O.o
o czym to świadczy ? xDDD bez dalszego komentarza xD owszem, śmiech to zdrowie ale trzeba mieć umiar xD
Ubaw to ja mam – czytasz chyba co dziesiąte zdanie.
Sorry, nie potrafię dyskutować z człowiekiem, w którego poście jest więcej 'xD' niż spacji. Zresztą sam chwalisz się trollowaniem.
…jak Ciebie śmieszy coś, co teoretycznie nie powinno to czas chyba zadbać o zdrowie i odwiedzić specjalistę.
Co za czasy nastały, że na forum poświęconym IT newsy piszą dzieci z podstawówki. W dupie mam taką Wolność. Podobnie jest z całym (no, prawie całym) Wolnym Oprogramowaniem – brak kontroli prowadzi do chaosu. Jednym słowem: brud, smród i ubóstwo; śmierć, kiła i mogiła ;).
odczep się od dziecka z podstawówki 😉 Jak się nie podoba, to merytorycznie, a nie ad personam. Możesz ewentualnie kliknąć "-" przy tytule niusa, żeby zakopać…
… a… zapomniałem. Pan niezalogowany. No tak… anonimowo łatwiej obrażać… dziecko z podstawówki. Jednym słowem: brud, smród i ubóstwo; śmierć, kiła i mogiła ;).
Jednak dyrektor tego cyrku powinien przewidzieć, że "zły pieniądz wypiera pieniądz dobry". Masa dziecinnych użytkwoników odepchnie tych dojrzałych, a potem już się sama zacznie nakręcać jak kula śnieżna. Nie ma sensu iść pod prąd. Skoro ta plusikowo-minusowa "społeczność" chce mieć zabawę na swoim poziomie, to będzie ją miała i nie pomoże tu żadna krucjata. Strata czasu.
@aix_Wolna_Głupota. Jedyna rada. Załóż własną witrynę.
Będziesz miał np. 22 lata, to zauważysz jaką drogę przebyłeś od czasów gdy miałeś 13 lat. Co ja gadam! Już za 2 lata zauważysz, że się zmieniłeś. Poza nielicznmi wyjątkami dzieci nie powinny publikować. Wykorzystaj czas, zeby się uczyć, bawić. Pisz własne programy na przykład…ale nie ucz innych! Na to za wcześnie.
Aha byłbym zapomniał… kilo- to *1000, a kibi- to *1024, dlatego w informatyce używa się pojęcia kibi- itp. Jednak się to nie przyjęło i powszechnie używa się kilo- w informatyce…
Ten "news" pokazuje czym cały serwis OSnews jest – miejscem do siania wprowadzających w błąd informacji, na dodatek tylko tych, które dotyczą tylko MS lub Apple. Dowodzi tego kompletny brak reakcji ze strony administracji.
Na dodatek zachowanie większej części użytkowników jest na poziomie linuksowych freetardów.
Ale możliwe że wcale nie potrzeba żadnej płyty/pendrive przy starcie żeby załadowac ten program do pamięci.Sa przecież różne botloader-y lilo/grub, wiec moga one byc instalowane spod windy a po resecie zonk… mamy dostęp 😉
No tak, news trafił na Onet – zacznie się panika. Mam wrażenie, że cały cyrk temu właśnie miał służyć, oczernieniu w najpopularniejszych mediach nowej wersji systemu operacyjnego, kilkanaście dni przed wydaniem wersji RC.
Dodaj komentarz