Nowa technika ataku na Windows, podatności nie da się załatać
Tegoroczna konferencja BlackHat Europe przyniosła sporo ciekawych odkryć i wynalazków zzakresu bezpieczeństwa IT. Najciekawszym naszym zdaniem jest nowatechnika ataku Windowsa o nazwie „Process Doppelgänging”.Wykorzystując mechanizm transakcyjnegodostępu NTFS udało się obejść zarówno zabezpieczeniawszystkich wersji Windowsa, jak i najpopularniejsze programyantywirusowe. Przestały one po prostu zauważać malware dostarczonew ten sposób.
Po niemiecku Doppelgänger to po prostu sobowtór, mitycznazłośliwa istota, będąca bliźniakiem żyjącej osoby i mogącasię pojawiać w wielu miejscach naraz. Doppelgänging procesów tonowa technika wstrzykiwania kodu, która nawiązuje do tego stwora.Jej autorzy, badacze z firmy enSilo, odkryli, że mogą wykorzystaćmechanizm transakcji NTFS, aby zmienić zawartość plikówwykonywalnych, nie zapisując zarazem tych zmian na dysku.
Następnie wykorzystali nieudokumentowane właściwości ładowaniaprocesów w Windowsie, aby wczytać tak zmodyfikowany plikwykonywalny, zarazem wycofując wprowadzone do niego zmiany. Wefekcie mamy do dyspozycji proces ze zmodyfikowanego pliku… amechanizmy bezpieczeństwa niczego nie podejrzewają.
Jak wyjaśniają badacze, najwyraźniej oprogramowanieantywirusowe nie jest w stanie przeskanować pliku, który jest wkontekście nieukończonej transakcji. Po jej wycofaniu plik możezostać sprawdzony, ale nic w nim niewłaściwego nie ma. Zarazemuzłośliwiony proces, który powstał z takiego pliku, też będziewydawał się być w porządku, ponieważ jest poprawnie odwzorowanydo istniejącego na dysku pliku, nie ma tu żadnego kodu nie wiadomoskąd, za którym rozglądają się silniki antywirusów.
Efekty są spektakularne. W ten sposób udało się ominąc naWindowsie 7, 8.1 i 10 zabezpieczenia antywirusów takich jak Avast,AVG, Bitdefender, ESET, Kaspersky, McAfee, Panda, Qihoo 360, Symanteci Windows Defender. Co więcej, ataku nie wykryło nawet Volatility,zaawansowane narzędzie informatyki śledczej. Bez przeszkód nazabezpieczonych komputerach badacze uruchomili więc szkodnikaMimikatz, służącego m.in. do wykradania haseł.
Na szczęście dla zwykłych użytkowników, doppelgängingprocesów jest trudny i wymaga znajomości wspomnianychnieudokumentowanych właściwości mechanizmu tworzenia procesów wWindowsie. Oczywiście póki co nieudokumentowanych – z czasem tawiedza stanie się publicznie dostępna. Już w najbliższych dniachna stronach Black Hata pojawić się ma artykuł poświęcony tejpracy, z którego dociekliwi ludzie w czarnych kapeluszach będąmogli pewnie sporo wywnioskować.
Na nieszczęście dla zwykłych użytkowników, Microsoft nieobroni ich przed tą techniką ataku. Nadużywa ona bowiemfundamentalnych właściwości i architektury mechanizmu ładowaniaprocesów w Windowsie – twierdzą odkrywcy. Z ich prezentacjiwynika, że wprowadzony 11 lat temu w Windows Vista mechanizmtransakcji, mimo że przestarzały w momencie wprowadzenia, jestużywany do dzisiaj, głównie do aktualizacji i instalowaniaoprogramowania. Z kolei mechanizm tworzenia procesów pozornie uległogromnym zmianom od czasów Windowsa XP, ale głębsza analizapokazuje, że po prostu większość kodu przeniesiono z kernel32 dontoskrnl, cały proces pozostaje taki sam.
Podobnie zresztą było z inną znaną techniką wstrzykiwaniakodu, Process Hollowing, wykorzystywaną np. przez słynnegoszkodnika Duqu. Tworzy się w niej proces w zawieszonym stanie,zastępując pamięć procesu kodem innego progamu. Windows inarzędzia antywirusowe wierzą, że mają do czynienia z oryginalnymprocesem, tymczasem faktycznie działa coś zupełnie innego.