Virtuele Machines malware doelwit van 2009
Volgend jaar zullen virusschrijvers hun pijlen richten op Virtuele Machines, zo voorspelt filterbedrijf MessageLabs. De sluiting van verschillende grote botnets zou de groei van "virtuele malware" veroorzaken. "Het besturingssysteem weet niet dat het er is, en de malware zal dan low-level calls van het besturingssysteem onderscheppen", aldus analist Paul Wood. Volgens Wood is het probleem met virtuele malware dat je moet beseffen dat het er is en begrijpen hoe je het moet verwijderen. "Omdat het zo low-level is, is het opnieuw installeren van de machine soms de enige oplossing."
Mark O'Dell merkt op dat de theoretische dreiging van virtuele malware al sinds de creatie van hypervisor technologie bestaat en dat dit soort malware veel lastiger te detecteren is. Het filterbedrijf voorspelt verder dat malware volgend jaar slimmer en veelzijdiger zal worden. Een spambot die bijvoorbeeld merkt dat het spammen niet meer lukt, kan dan zelf omschakelen om denial of service aanvallen uit te voeren. Daarnaast moeten ook eigenaren van een smart phone opletten, aangezien aanvallers op "mobiele botnets" uit zouden zijn.
Verder is het natuurlijk wel zo dat de virtualisatiesoftware echt niet meer kan dan wat door het onderliggende besturingssysteem wordt toegelaten. Daar kunnen natuurlijk wel missers (exploits) in zitten, maar die kunnen net zo makkelijk daar andere software worden gebruikt.
Waar nestelt de malware zich dan precies ?
Waar nestelt de malware zich dan precies ?
lees dit even: http://theinvisiblethings.blogspot.com/2006/06/introducing-blue-pill.html
Waar nestelt de malware zich dan precies ?
idd!! het gaat toch om het os? de malware kan niet herkennen of het virtueel is of niet!!
lijkt me meer broodje aap.
Waar nestelt de malware zich dan precies ?
Het idee van XEN ( http://citrix.com/English/ps2/products/product.asp?contentID=683148 ) dus.
Mensen zijn min of meer gewend geraakt aan het idee van VMware, waarbij bijvoorbeeld VMware-player een applicatie is binnen Windows of Linux, waarbinnen je een ander OS kunt installeren. Hierbij is het host-OS dan degene die de hardware direct aanstuurt en het gast-OS binnen VMware communiceert dan via VMware, via dat host-OS met de hardware. Het gast-OS draait dan bovenop het host-OS.
Met XEN is dat nog op een iets lager niveau. Op het laagste niveau draait een hypervisor die met de hardware communiceert en een platform biedt voor meerdere OS-en.
Alle OS-en die daarop draaien, draaien dus op hetzelfde niveau en zien elkaar dus niet.
Als je dus parallel aan je Windows een ander OS (bijvoorbeeld een Linux met kwaadaardige scripts) draait, kan je virusscanner onder Windows dat totaal niet zien. Zo kun je dus een botnet draaien op je PC, terwijl dat totaal niet zichtbaar is voor je Windows.
Het kan echter nog beroerder.
Stel dat de hypervisor (die dus tussen de hardware en je OS draait) allerlei kwaadaardige software bevat, zoals een alternatieve DNS-server, dan kun je echt niet meer vertrouwen op de data die je via je netwerk binnenkrijgt.
Die software tussen netwerkkaart en je OS kan dan namelijk al het verkeer wat er langs komt zien en aanpassen. (netwerkkaart draait op de hypervisor in promiscuous mode en de hypervisor maakt in software een soort van netwerk-hub waarop alle virtuele netwerkkaarten van alle virtuele OS-en verbinden)
De enige manier waarop je in je Windows zou kunnen zien dat er iets niet in de haak is, is wanneer je in je Windows een andere netwerkkaart-driver ziet dan dat er aan hardware op je PC zit. (bijvoorbeeld een standaard netwerkdriver, terwijl je een dure 3com of Intel chip erin hebt zitten). Ook zou je kunnen zien dat je wat schijfruimte minder tot je beschikking hebt. Alle andere hardware kun je gewoon ongemerkt gebruiken.
Heel mischien zou je met netwerk-snif-tools kunnen zien dat je in je Windows een ander mac-adres hebt dan aan de buitenkant, maar er is eigenlijk ook geen reden om dat niet gelijk te houden.
Kortom voor vrijwel alle PC-gebruikers (op expert-niveau na), is het vrijwel onzichtbaar en niet te detecteren.
Mij benieuwen hoe dit vorm gaat krijgen.
Maar ja; er wordt al lang aangekondigd dat virtuele machines op de PC de toekomst zal zijn, dus ook de virusschrijver bereiden zich daarop voor...
Wat dat betreft is aanzetten in de BIOS dat je de bootsector wilt beveiligen nog wat veiliger in deze situatie dan UAC van Vista ;)
Het zal trouwens een knap stukje code moeten worden om vrijwel ongemerkt een hypervisor te installeren onder het bestaande OS. Als virus-schrijver zou je dat eigenlijk al moeten toevoegen aan de restore-CD's van de grote computerfabrikanten :)
Het is een beetje alsof je speurders zou zetten die op de buitenmuren van een burcht staan te staren in de verte, terwijl de aanvallers uit de riool komen gekropen
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
