Blue Pill. Watchcom Security Group AS. -fakta eller fiksjon?

Transkript

1 Blue Pill Watchcom Security Group AS -fakta eller fiksjon?

2

3 Introduksjon Malware (Bakdører, Spyware, Adware, Virus, Ormer, Rootkits, etc) Super-malware Hardware-basert virtualisering Meet The Hypervisor Blue Pill anyone?

4 Malware definisjoner Bakdører muliggjør fjernstyring av kompromittert host Lokal-app keyloggere, passordsniffere, DDoS agenter Malware fellesbetegnelse på ondsinnet kode Rootkit beskytter bakdører og lokal-app fra å bli oppdaget

5 Hva malware gjerne vil.. Vil gjerne overleve omstart av maskinen Ved å skjule sine filer Gjemme seg i registry Vil gjerne kjøre og styre flere egne prosesser Ved å skjule aktive prosesser Ved å skjule Win32 tjenester Skjule at de lytter på en port Gjemme moduler, biblioteker og drivere

6 Stealth Begrepet root, opprinnelig term: max privilegert brukerkonto Rootkit-teknologi referer til stealth, å gjøre usynlig Det som skjer: modifiserer hvordan OS et selv fungerer manipulerer interaksjon mellom OS og hardware kompromitterer selve kjernen i operativsystemet Kan effektivt skjule fra operativsystemet selv prosesser nettverkstilkoblinger filer registernøkler etc.

7 Ondsinnet kode kan oppdages! Typisk er malware, uansett form, basert på et eller annet konsept Kjenner man konseptet kan man oppdage trusselen (program som fjerner trusselen kan lages(a/v) Dette gjelder også kjente rootkits FU (kobler EPROCESS fra liste over aktive prosesser) Deepdoor (endrer funksjoner i NDIS datastrukturer)

8 Motivasjon for bruk av rootkit teknologi Det foregår en kamp mellom angripere og forsvarere av datasystemer Angripere og forsvarere forsøker begge å få kontroll Angripere: monitorer og skjule eksekvering -unngå forsvarere Forsvarere: oppdage og fjerne angripere Angripere App1 App2 Forsvarere Operativsystem Maskinvare

9 Virtualisering Rootkit basert på virtualisering: SUBVIRT (Microsoft Research (2006)) Installeres på maskinen bruker f.eks virtualpc eller vmware til å kjøre det originale operativsystemet inni en VM App1 App2 Attack system App1 Target OS App2 Target OS Hardware VMM Hardware FØR infeksjon ETTER infeksjon

10 Kan det oppdages? JA! Rootkits og SUBVIRT s kan oppdages Rootkit er fundamentert på utnyttelse av feil/hack av OS Ved å kjenne hvordan disse feilene utnyttes kan man forsvare seg SUBVIRT er fundamentert på installasjon av VMM Reboot er påkrevet i tillegg MÅ det finnes filer på disk (som kan oppdages) Poenget er: malware basert på et kjent konsept kan alltid oppdages (rootkits/opernsource)

11 Super-malware Hva om det fantes malware... som IKKE var basert på et konsept for å forbli uoppdaget? you take the blue pill the story ends, you wake up in your bed and believe whatever you want to believe...

12 Hva er Blue Pill? Introdusert av Joanna Rutkowska (COSEINC) -security researcher som har jobbet med rootkit teknologi i en årrekke Utnyttelse(!) av AMD64 Pacifica SVM utvidelser Software klient flytter operativsystemet inn i en virtuell maskin (on-the-fly)! Windows Vista svelger Blue Pill som: -Installerer seg selv -ikke endrer i BIOS -ikke endrer oppstartsektor -Ingen endringer i systemfiler (Intel har tilsvarende 64bit chips; Vanderpool, nå VT) Attack system App1 App2 Target OS VMM Hardware

13 Meet The Hypervisor Blue Pill er en klient software som kan ta rollen som hypervisor on-the-fly Begrepet supervisor er kjent for mange som operativsystemet supervisor styrer alle programmer som kjører inni seg Hypervisor brukes for å beskrive et ENDA HØYERE rettighetsnivå beskriver rettighetsnivå OVER operativsystemet allerede kjent for brukere av VMWare I førersetet som hypervisor finnes ingen grenser for hva man kan gjøre

14 Fuksjonalitet foran sikkerhet Blue Pill er fundamentalt forskjellig fra rootkit ikke avhengig av hack, sårbarheter eller andre tricks det bruker bare hardware som nå kommer med 64bits arkitektur! AMD og MS : OH...NO..!!!!!! Så opptatt med å lage ny spennende funksjonalitet at muligheten rett og slett ikke hadde streifet dem! Derfor er arbeid med security research så viktig, og derfor Joanna Rutkowskas rapport så viktig at kom nå (og ikke om 1 eller 2 år..)

15 inside the Matrix Blue Pill kan gjøre det vanskelig (umulig?) å vite Jobber jeg virkelig på min egen maskin, eller er jeg egentlig under noen annens kontroll? Blue Pill er teknisk sett en hi-jacking teknologi og ikke malware i seg selv...men kan imidlertid brukes til hva-som-helst! (f.eks: nettverksbasert bakdør inn i Vista x64 )

16 konklusjon Katt og mus leken fortsetter! Ny teknologi gir mange nye muligheter og dermed også nye utfordringer! Problemet er ikke teknologien men det faktum at det er nytt! Absolutt sikkerhet finnes som kjent ikke Kommer Microsoft til å sitte og se på at Vista s sikkerhet nå er verdiløs? NEI! En sannsynlig teori går på levere Vista pre-blue-pilled (SVM allerede aktivert men kontrollert av Vista) hva om man kan slå Microsoft Vista på startstreken... og starte Blue Pill FØR Vista starter...? Steve Gibson, GRC.COM

17 Avslutning Takk for oppmerksomheten!

18 Watchcom Security Group AS