Zapora sieciowa nic tu nie da: malware rozmawiało po wirtualnym porcie COM

Nie ma chyba drugiej takiej dziedziny informatyki równie zależnejod pomysłowości, co tworzenie złośliwego oprogramowania. Niektórez rozwiązań przygotowywanych przez hakerów to kompletne szaleństwo– które jednak działa. Do tej kategorii można na pewno zaliczyćtechnikę transferu plików, opracowaną przez południowoazjatyckągrupę PLATINUM. Kto by w naszych czasach pomyślał bowiem owykorzystaniu interfejsu szeregowego (COM)?

Eksperci Microsoftu z grupą PLATINUM spotkali się po razpierwszy na początku zeszłego roku – szybko okazało się, żedysponuje ona dużymi zasobami i stosuje zaawansowane techniki, takiejak hot patching, by po cichu wstrzykiwać swój kod wdziałające procesy, nawet jeśli można by było to zrobićprostszymi, mniej kosztownymi metodami.

Hot patching nie jest jednak czymś unikalnym. Naprawdę unikalnedla PLATINUM okazało się wykorzystanie do komunikacji z malwarekanału Serial-over-LAN (SOL), wbudowanego w AMT – mechanizmyzdalnego zarządzania Intela . Kanał ten jest całkowicie niezależnyod systemu operacyjnego, daje dostęp zarówno do procesora jak iinterfejsu sieciowego, dzięki czemu przekazywany po nim ruch jestniewidzialny dla firewalli czy narzędzi monitorowania ruchu.

Normalnie Intel wykorzystuje taki dostęp do zarządzania stanemzasilania komputerów czy obsługi np. zdalnej myszki lub klawiatury,np. podczas procesu zdalnego instalowania systemów operacyjnych.Mamy więc bardzo ciekawe połączenie – pełen dostęp dointerfejsu sieciowego w połączeniu z symulowanym hardware urządzeńinterfejsu użytkownika (HID).

Oprócz tego w swoim narzędziu komunikacyjnym grupa PLATINUMwykorzystała jeszcze jedno wirtualne urządzenie – wirtualny portszeregowy, również zestawu AMT. Łącząc go z interfejsemsieciowym, możliwe stało się przenoszenie danych między maszynamiw niezauważalny dla systemowych firewalli sposób.

Warto podkreślić, że nie ma tu mowy o żadnej luce, żadnymexploicie. Intel po prostu tak to zaprojektował, a hakerzy PLATINUMz tego skorzystali. Jeśli napastnik zdobędzie dostępadministracyjny do maszyny i włączy potrzebne moduły AMT (wszystkoto może zrobić z poziomu Windowsa), może następnie długo wniezauważony dla administratorów sposób wykorzystywać do swoichpotrzeb sieć.

Nie wiadomo, czy hakerzy wykorzystywali przy okazji swoichoperacji podatnościw AMT, które Intel załatał dopiero z początkiem maja, a któraprzez dziewięć lat pozwalała na uzyskanie zdalnego dostępu dopecetów z tą technologią – i to bez hasła administratora. JakMicrosoft podaje, narzędzie do transferu plików znaleziono wkomputerach ofiar z organizacji działających wpołudniowo-wschodniej Azji, wpasowane w całą architekturęsieciową tam wykorzystywaną.

Czemu firma z Redmond donosi o tym ciekawym przypadku? Przedewszystkim chodzi o pochwalenie swoich narzędzi zabezpieczających –korporacyjna wersja Windows Defendera (Advanced Threat Protection) mabyć w stanie wykryć aktywność wirtualnych portów szeregowych, anawet rozpoznać ich wykorzystanie przez nieuprawnione osoby. Więcejprzeczytacie oczywiście na TechNecie,my tylko zauważymy, że dziś, gdy porty szeregowe przeszły wwiększości do historii, rzadko kiedy zdajemy sobie sprawę zdostępności ich wirtualnych odpowiedników w systemach. Ile takichjeszcze dziwnych rozwiązań tkwi we współczesnych pecetach?