Onveilige DLL-bestanden vormen een nieuwe achilleshiel voor Windows, zo blijkt uit verschillende zero-dayaanvallen die de afgelopen tijd werden ontdekt, zo laat het Amerikaanse beveiligingsbedrijf FireEye tegenover Security.NL weten. Ook Microsoft waarschuwde onlangs nog hiervoor.

Windows beschikt over een beveiligingsmaatregel genaamd Address Space Layout Randomization (ASLR). Deze techniek maakt het lastiger voor een aanvaller om te voorspellen waar in het geheugen bepaalde delen van een programma worden geladen. Dit maakt het weer lastiger voor een aanvaller om een beveiligingslek in een bepaald programma te kunnen misbruiken. Niet alle programma's gebruiken echter ASLR. Recentelijk vonden er verschillende zero-dayaanvallen plaats waarbij de aanvallers ASLR in een aangevallen programma wisten te omzeilen door de DLL-bestanden van een ander programma te laden dat hier geen gebruik van maakte.

Zowel bij een recente aanval op Adobe Flash Player als Internet Explorer 8 werd deze tactiek toegepast, en ook in het verleden zijn meerdere van dit soort aanvallen waargenomen. De aanvallers zoeken in dit geval bijvoorbeeld naar een DLL-bestand van een oude Java-versie of oudere versies van Office 2007 of 2010 die niet up-to-date zijn, maar ook andere programma's kunnen worden gebruikt.

"Bij een standaard Windows-installatie met een standaard Office-suite gaan de aanvallers elk DLL-bestand langs op zoek naar bestanden die geen ASLR gebruiken. Dit lijkt de nieuwe norm te zijn", zegt Darien Kindlund, directeur Threat Research bij FireEye. "We kunnen dus ook verwachten dat toekomstige aanvallen deze techniek gebruiken, totdat er geen DLL-bestanden meer zonder ASLR-bescherming zijn." De aanvallers houden bij het kiezen van aan te vallen software rekening met het gehele systeem. "Ze weten dat een systeem waar Flash Player op is geïnstalleerd vaak ook over Java of Office beschikt. Ze proberen daar gebruik van te maken en dat is wat we ook gezien hebben."

Bij de recente zero-dayaanvallen liepen bedrijven die hun Java of Office-versies volledige up-to-date hadden dan ook geen risico, ook al zat er wel een lek in de gebruikte Adobe Flash Player. Kindlund merkt echter op dat aanvallers dan naar een ander kwetsbaar DLL-bestand op het systeem hadden kunnen zoeken. Naast de aanval op Flash Player was laatst ook Internet Explorer 10 het doelwit. Hierbij maakten de aanvallers gebruik van de aanwezigheid van Flash Player om de aanval uit te voeren, wat aangeeft dat aanvallers naar meer programma's kijken dan alleen het aangevallen programma om een aanval uit te voeren.

Microsoft EMET

De recente aanval op IE10 werkte niet als op het systeem de gratis Enhanced Mitigation Experience Toolkit (EMET) was geïnstalleerd. Deze toolkit moet aanvallen voorkomen, maar in dit geval detecteerde de aanval de aanwezigheid van EMET en stopte vervolgens met de verdere uitvoer. Waarschijnlijk was dit bedoeld om onderzoekers of securitybewuste bedrijven niet te waarschuwen dat er een aanval plaatsvond. Volgens Kindlund is EMET bij veel bedrijven nog niet geïnstalleerd en hoeven aanvallers de tool dan ook niet te omzeilen om toch succesvol met hun aanvallen te zijn.

Als EMET echter gemeengoed wordt zullen cybercriminelen waarschijnlijk wel investeren om EMET te omzeilen. Iets wat tot nu toe alleen door beveiligingsonderzoekers is gedaan. "We hebben ze die stap eerder zien maken, dat ze geld, tijd en energie investeerden om bijvoorbeeld de sandboxes van Adobe te omzeilen. Er zal waarschijnlijk ook een moment in de toekomst komen om EMET te omzeilen."

Verwijderen

Kindlund stelt dat als bedrijven systematisch software van de werkcomputers verwijderen, het aanvalsoppervlak ook vele malen kleiner wordt. "Eén van de uitdagingen is echter het systematisch verkleinen van het aanvalsoppervlak. De meeste organisaties hebben geen volledige controle over alle applicaties die op al hun endpoints zijn geïnstalleerd en zich binnen de organisatie bevinden." Dat zou echter wel moeten als bedrijven en organisaties dit soort dreigingen willen voorkomen, of in ieder geval het leven van de aanvallers een stuk lastiger willen maken. Een bedrijf kan wel Adobe Flash Player verwijderen, maar één computer waar het nog wel op staat kan voldoende zijn om aanvallers toegang tot het netwerk te geven.

De moeite die bedrijven hebben om software te verwijderen en gebruikte software up-to-date te houden is dan ook de reden dat dit soort aanvallen nog steeds succesvol zijn. Daar komt bij dat systeembeheerders eerst de bedrijfsvoering moeten ondersteunen. "Als je aanpassingen in de omgeving maakt die gevolgen voor de bedrijfsvoering hebben, is het geen oplossing die op de lange termijn gaat werken", gaat Kindlund verder. Hij wijst dan met name naar de problemen die bedrijven met upgraden hebben. "Kijk naar alle organisaties met Windows XP-computers die nog moeten upgraden, laat staan als ze componenten moeten verwijderen die invloed op de bedrijfsvoering kunnen hebben."