Alle virusscanners kwetsbaar voor nieuwe aanval
Bijna alle virusscanners en firewalls voor Windows zijn kwetsbaar voor een nieuwe aanval, waardoor aanvallers de beveiliging kunnen omzeilen. Het probleem zit hem in de kernel hooks die anti-virusbedrijven gebruiken om Windows tegen malware te beschermen. Volgens onderzoekers van beveiligingsbedrijf Matousec, zijn user mode hooks onveilig. Een aanvaller zou bijvoorbeeld de virusscanner goedaardige code kunnen laten scannen, die door de controle heen komt, maar net voor het uitvoeren een kwaadaardige lading aanroept.
Deze "argument-switch" aanval vereist precieze timing, iets wat op systemen met één processor nog voor problemen kan zorgen. "Zaken worden eenvoudiger op systemen met meerdere processoren, waar twee of meer threads van dezelfde applicatie tegelijkertijd draaien en de context switch op het juiste moment niet echt nodig is", aldus de onderzoekers. Die merken op dat de meeste systemen vandaag de dag over multi-core processoren beschikken.
Rechten
Het probleem treft alleen producten die SSDT (System Service Descriptor Table) hooks gebruiken om delen van de Windowskernel aan te passen. Het lijkt erop dat dit standaard het geval bij beveiligingssoftware is. Van de 35 producten die Matousec testte, waren er ook 35 kwetsbaar. Het gaat dan om Internet Security Suites, virusscanners en firewalls van grote merken zoals AVG, Symantec, McAfee en Kaspersky.
Ook maakt het niet uit of de malware onder een account met administrator of verminderde rechten wordt uitgevoerd. De aanval werd getest op Windows XP met SP3 en Windows Vista SP1 op 32-bit hardware. Toch merken de onderzoekers op dat alle Windows versies kwetsbaar zijn, waaronder Windows 7. Zowel de 32- als 64-bit versie.
Bedreiging
"De aanval vormt een ernstige bedreiging omdat veel anti-virusbedrijven hun security features op hooking baseren. We hebben de meest gebruikte beveiligingssoftware getest en ontdekt dat ze allemaal kwetsbaar zijn. De populairste beveiligingsoplossingen werken gewoon niet", zo besluiten de onderzoekers hun rapport.
Volgens Jeffrey Walton gaat het hier niet om een nieuwe techniek, maar om een 'TOCTOU binding flaw', die al sinds 1996 bekend is.
"Still, the exploit has its limitations. It requires a large amount of code to be loaded onto the targeted machine, making it impractical for shellcode-based attacks or attacks that rely on speed and stealth. It can also be carried out only when an attacker already has the ability to run a binary on the targeted PC."
Oftewel, de praktische uitvoering van de exploit is niet zo ernstig als zonder deze copy-paste sectie.
Bron: http://www.theregister.co.uk/2010/05/07/argument_switch_av_bypass/
http://www.wilderssecurity.com/showpost.php?p=1673813&postcount=75
Volledige tread:http://www.wilderssecurity.com/showthread.php?t=271968
Suggesties voor de volgende rapporten;
Katrina Hurricane 5 Report
Ground Zero-Day Malware Report
Asean NT-Bug Tsunami Report
Hiroshima Host-Based Intrusion Bomb Report
Valt in ieder geval wel op...
Maar zou de klemtoon niet moeten liggen op het feit dat het oude probleem opeens een bedreiging is geworden omdat er zo'n groot aantal MULTI-CORES op de markt zijn die er in 2003 nog niet zoveel waren. De doelgroep is misschien vandaag groter geworden waardoor het voor inbrekers nu rendabeler is als toen? Ja, het artikel is wellicht gekopierd, maar met de toevoeging van de multi-cores (waarbij timing minder belangrijk wordt er kan immers een andere thread opgestart worden) is het originele artikel wel in een nieuw daglicht geplaatst???
Nogmaals, ben geen expert. Enkel gezond boerenverstand.
Het Orakel
Het Register-artikel waar DamnSecure hierboven naar linkte is duidelijker: de goedaardige code wordt gescand, en in het korte moment tussen goedkeuring en daadwerkelijke aanroep van de goedaardige code overschrijft een andere thread hem met kwaadaardige code, zodat die wordt uitgevoerd terwijl de virusscanner niet beter weet of er staat iets goedaardigs.
Die kwaadaardige code is dan vermoedelijk als een blok data geladen, die op het moment van laden onherkenbaar is voor de virusscanner en in geheugen weer in code wordt omgezet.
De noodzaak om net in dat korte moment de code te overschrijven, in plaats van ruim voor de aanroep, kan denk ik alleen maar betekenen dat de genoemde hooks de aanroep van de code zelf onderbreken, zodat de virusscanner tijdens de uitvoering van programma's brokjes code zo kort mogelijk voor uitvoering kan controleren. Dat gaat veel verder dan scannen op het moment dat code van schijf wordt gelezen, en als dit inderdaad zo werkt kan dat verklaren waarom sommige virusscanners de uitvoering van programma's zo kunnen vertragen.
Maar is het met moderne hardware en besturingssystemen niet mogelijk om codesegmenten onoverschrijfbaar te maken, ook voor het proces zelf? Laad de code, maak hem read-only, voer de scan uit en roep hem aan. Niemand kan er nog tussen komen, het blok code is immers niet meer overschrijfbaar. Ik neem aan dat ik nu iets te optimistisch ben over de mogelijkheden, anders was dit vast ook wel zo gedaan. Aanpassingen aan code kunnen in een ontwikkelomgeving nodig zijn om bijvoorbeeld breakpoints te plaatsen tijdens het debuggen. Maar is er een reden waarom dat bij normaal gebruik van software ook zou moeten kunnen? Ik zou denken dat het onwenselijk is dat het gebeurt, je wilt bijvoorbeeld dezelfde code niet meerdere keren in geheugen laden als er meerdere instanties van een programma worden uitgevoerd. Met een strikte scheiding van code en data kan dat, en op de mainframesystemen waar ik vroeger op werkte gebeurde dat ook (in ieder geval binnen CICS). Maar voor hedendaagse pc-architecturen en -besturingssystemen schiet mijn kennis tekort. Is er iemand die hier zijn licht over kan laten schijnen?
Hiroshima `45
Vietnam `69
Chernobyl `86
Windows `95
Office `97
Windows `98
Windows `2000
Hiroshima `45
Vietnam `69
Chernobyl `86
Windows `95
Office `97
Windows `98
Windows `2000
Dit slaat nu nergens op mens.
En de zogenaamde beveiligings-tools maken het helaas niet beter:
- ze vertragen systemen
- vergroten (blijkbaar) het aanvalsoppervlak van een systeem
- beschadigen het systeem door b.v. systeembestanden als malware aan te merken
Anoniem schaart Windows onder de grootste rampen van de mensheid.
En dat is terecht, als men de miljarden schade ziet die de wereld jaarlijks oploopt door het gebruik ervan.
http://www.matousec.com/info/articles/khobe-8.0-earthquake-for-windows-desktop-security-software.php#table-of-vulnerable-software
[admin] Van wie is Norton Internet Security 2010 .... [/admin]
Deze "argument-switch" aanval vereist precieze timing, iets wat op systemen met één processor nog voor problemen kan zorgen. "Zaken worden eenvoudiger op systemen met meerdere processoren, waar twee of meer threads van dezelfde applicatie tegelijkertijd draaien en de context switch op het juiste moment niet echt nodig is", aldus de onderzoekers. Die merken op dat de meeste systemen vandaag de dag over multi-core processoren beschikken.
http://en.wikipedia.org/wiki/Time-of-check-to-time-of-use
Wat feitelijk een race conditie is.
http://en.wikipedia.org/wiki/Race_condition
http://www.sophos.com/blogs/duck/g/2010/05/11/khobe-vulnerability-earth-shaker/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
