Hypervisor बनाम rootkits: यह कैसे काम करता है

हाल ही में, हमारी कंपनी हार्डवेयर वर्चुअलाइजेशन के आधार पर एक रूटकिट डिटेक्टर विकसित कर रही है। सूचना सुरक्षा के लिए इंटेल और एएमडी प्रोसेसर की नई क्षमताओं का उपयोग कैसे करें, यह समझने के लिए परियोजना की कल्पना की गई थी। कई पुनरावृत्तियों के बाद, हम रूटकिट्स का पता लगाने के लिए एक पूरी तरह से कार्यात्मक विधि पर बसे। इस पर चर्चा होगी।

विधि स्मृति के हार्डवेयर वर्चुअलाइजेशन (अंग्रेजी नेस्टेड पेजिंग या हार्डवेयर असिस्टेड पेजिंग की तकनीक पर आधारित है, आमतौर पर स्वीकृत रूसी शब्द नहीं है)। यह तकनीक इंटेल और एएमडी प्रोसेसर के नवीनतम मॉडल में दिखाई दी है। इंटेल संस्करण को इंटेल एक्सटेंडेड पेज टेबल (EPT) कहा जाता है और यह नेहेल परिवार (Intel Core i3, i5, i7) से शुरू होने वाले प्रोसेसर द्वारा समर्थित है। एएमडी समकक्ष को एएमडी रैपिड वर्चुअलाइजेशन इंडेक्सिंग (आरवीआई) कहा जाता है और यह एएमडी के 10 पीढ़ी से शुरू होने वाले प्रोसेसर पर मौजूद है। प्रौद्योगिकियां समान हैं, इसलिए इंटेल ईपीटी के बारे में नीचे वर्णित सब कुछ एएमडी आरवीआई पर लागू होता है।

सिद्धांत

इसलिए, हमारे पास एक हाइपरविजर और एक अतिथि ऑपरेटिंग सिस्टम (अतिथि) है जो इसके नियंत्रण में काम कर रहा है।



अतिथि ओएस के हाइपरविजर से नियंत्रण के परिवर्तन को वीएम एंट्री कहा जाता है, रिवर्स ट्रांजिशन को वीएम एक्जिट कहा जाता है। सभी कार्य वीएम एंट्री का एक क्रम है और वीएम एक्जिट एक दूसरे की जगह ले रहे हैं। हाइपरविजर एक अलग पते वाले स्थान पर चलता है और अतिथि OS द्वारा "अदृश्य" है। उसी समय, यह अतिथि ओएस (वर्चुअल प्रोसेसर, मेमोरी, वर्चुअल हार्डवेयर, आदि) की स्थिति को बदल सकता है।

यह पाठक के लिए हमारे पिछले लेख को पढ़ने के लिए समझ में आता है, जो छाया पृष्ठन तालिका के आधार पर एक विधि से निपटा है। यहाँ वर्णित विधि इसका आगे का तार्किक विकास है।

हार्डवेयर मेमोरी वर्चुअलाइजेशन, छायांकन पेजिंग में सॉफ्टवेयर वर्चुअलाइजेशन के विपरीत, नाटकीय रूप से हाइपरविजर को सरल करता है और, परिणामस्वरूप, यह अधिक विश्वसनीय बनाता है। इसके अलावा, प्रदर्शन में बहुत सुधार हुआ है और मेमोरी की खपत कम हुई है।

प्रोसेसर के सामान्य संचालन के दौरान, भौतिक पते पर किसी भी पहुंच तुरंत प्रोसेसर पते की बस में अपने प्रदर्शन की ओर जाता है (एपीआईसी तक पहुंच जैसे मामलों को छोड़कर, लेकिन हम प्रस्तुति में आसानी के लिए उन्हें छोड़ देते हैं)। नेस्टेड पेजिंग के मामले में, भौतिक पते पर किसी भी अतिथि का उपयोग (इसे "अतिथि भौतिक पता" नाम मिलता है) को पहले एक विशेष पृष्ठ तालिका के माध्यम से प्रसारित किया जाता है। अतिथि भौतिक पते से प्राप्त भौतिक पता पता बस पर सेट किया गया है, जिसके बाद मेमोरी एक्सेस की जाती है।

Intel EPT के लिए अतिथि भौतिक पता अनुवाद नियमित पेज अनुवाद के समान है:



पृष्ठ तालिका चार-स्तरीय है और 64-बिट इंटेल 64 मोड में आभासी पतों को परिवर्तित करने के लिए पृष्ठ तालिका जैसा दिखता है। मुख्य अंतर तालिका प्रविष्टियों की संरचना है। आंकड़ा तालिका के निचले स्तर (PTE) के लिए रिकॉर्ड की संरचना दिखाता है:



हम रिकॉर्ड्स के तीन कम से कम महत्वपूर्ण बिट्स में रुचि रखते हैं जो भौतिक स्मृति तक पहुंच का निर्धारण करते हैं। यदि R, W, X बिट्स को साफ़ किया जाता है (बिट्स 0 ... 2), तो वर्णित PTE मेमोरी तक क्रमशः पढ़ने, लिखने और निष्पादित करने के लिए हाइपरवाइज़र (इंटेल शब्दावली के अनुसार EPT उल्लंघन) का कारण बनता है।

इससे प्रोसेसर पर कोड के निष्पादन को नियंत्रित करना और कोड के साथ मेमोरी लिखना संभव हो जाता है।

विधि का सार

पूर्ण वर्चुअलाइजेशन हमारा लक्ष्य नहीं है। कोड के निष्पादन और संशोधन को नियंत्रित करने के लिए, हमें बस मेमोरी और प्रोसेसर को वर्चुअलाइज करना होगा।

मेमोरी वर्चुअलाइजेशन के लिए, हमें वास्तविक भौतिक एक-से-एक भौतिक पतों (आइडेंटिटी मैपिंग) के लिए अतिथि भौतिक पतों की मैपिंग के साथ ईपीटी पेज टेबल बनाने की आवश्यकता है। उसी समय, तालिका के निचले स्तर (पीटीई) में रिकॉर्ड में, हम डब्ल्यू और एक्स बिट्स को रीसेट करते हैं। ऐसा प्रत्येक रिकॉर्ड 4 केबी मेमोरी पेज तक पहुंच का वर्णन करता है।

अगला, EPT उल्लंघन के साथ हाइपरविजर (VM Exit) तक पहुंचने के दो विकल्प हैं:

1. रिकॉर्डिंग के लिए मेमोरी पेज तक पहुंच। इस मामले में, हाइपरवाइजर नेटवर्क में प्रवेश करता है, जिसके बाद यह पृष्ठ को लिखने की अनुमति देता है (डब्ल्यू बिट सेट करता है), लेकिन निष्पादन को प्रतिबंधित करता है (एक्स बिट को रीसेट करता है)।
2. निष्पादन के लिए स्मृति पृष्ठ तक पहुंच। इस मामले में, हाइपरवाइज़र पृष्ठ पर निष्पादन की अनुमति देता है (एक्स सेट करता है), लेकिन इसे लिखने पर प्रतिबंध लगाता है (डब्ल्यू को रीसेट करता है)।

इस प्रकार, एक मेमोरी पेज या तो केवल निष्पादन योग्य या केवल रिकॉर्ड करने योग्य हो सकता है। रिकॉर्डिंग और निष्पादन, क्रमशः, हाइपरवाइज़र (वीएम एक्जिट) तक पहुंच प्राप्त करते हैं और पृष्ठ को एक राज्य से दूसरे में स्थानांतरित करते हैं।

इन घटनाओं को संसाधित करके, हाइपरविजर गैर-डाउनलोड करने योग्य कोड में रिकॉर्ड कर सकता है, साथ ही सिस्टम मॉड्यूल के बाहर निष्पादन भी कर सकता है। जब प्रत्येक घटना होती है, तो आप उस कोड का विश्लेषण कर सकते हैं जो इसके कारण हुआ।

व्यावहारिक कार्यान्वयन

हमने ऊपर वर्णित विधि का उपयोग करके हाइपरसाइट रूटकिट डिटेक्टर रेकिट डिटेक्टर को लागू किया। इसे डिज़ाइन किया गया है ताकि उपयोगकर्ता के अनुरोध पर इसे लोड और अनलोड किया जा सके। यह इसे VMware और वर्चुअलबॉक्स जैसे वर्चुअलाइजेशन कार्यक्रमों के साथ संयोजन में उपयोग करने की अनुमति देता है।

हमारा रूटकिट डिटेक्टर कर्नेल में निम्नलिखित गतिविधि का पता लगा सकता है:

• हाइपरवाइजर मोड पर स्विच करने का प्रयास।
• कर्नेल और एचएएल के बाहर कोड द्वारा नियंत्रण रजिस्टर के संशोधन।
• गैर-पृष्ठांकित कर्नेल कोड का संशोधन, HAL और मेमोरी में ड्राइवर, SSDT के संशोधन। जिसमें वर्चुअल मेमोरी प्रदर्शित करके संशोधन शामिल हैं।
• ड्राइवर, कर्नेल और एचएएल के निष्पादन योग्य वर्गों के बाहर कोड निष्पादन। रूटकिट्स का ट्रम्प कार्ड तथाकथित "छिपा हुआ कोड" अब आसानी से पता लगाया जाता है।

जब प्रदर्शन चालू होता है तो प्रदर्शन एक प्रतिशत के भीतर और लगभग पूरी तरह से "आंख से" होता है। क्वाड-कोर प्रोसेसर के लिए हाइपरविजर मेमोरी की खपत लगभग 40 एमबी है। यह कार्यालय के कार्यों और विकास के उद्देश्य से 1 जीबी या उससे अधिक की मेमोरी वाले कंप्यूटर पर विधि का उपयोग करना संभव बनाता है।

आगे का काम

हाइपरवाइजर क्षमताएं रूटकिट डिटेक्शन तक सीमित नहीं हैं। दुर्भावनापूर्ण गतिविधि को रोकना भी संभव है। हम इस क्षेत्र में अनुसंधान कर रहे हैं और निकट भविष्य में परिणाम पेश करने की उम्मीद है। 64-बिट आर्किटेक्चर और एएमडी आरवीआई प्रोसेसर के लिए पोर्टिंग भी एजेंडे में है।

निष्कर्ष

हाल ही में, एंटीवायरस कंपनियों ने हाइपरवाइज़र का ध्यान अपनी ओर खींचा और अपने डेवलपर्स को नियुक्त करना शुरू कर दिया। हालांकि, यह ध्यान देने योग्य है कि हाइपरविज़र का विकास "खरोंच से" स्पष्ट बाहरी सादगी के बावजूद एक समय लेने वाली और महंगी प्रक्रिया है। हमारी कंपनी इस क्षेत्र में अपने अनुभव की पेशकश कर सकती है, साथ ही साथ एक काम कर समाधान भी कर सकती है।

साहित्य

इंटेल प्रोसेसर प्रलेखन: www.intel.com/content/www/us/en/processors/ RGBectures-software-developer-manuals.html

AMD प्रोसेसर प्रलेखन: developer.amd.com/documentation/guides/Pages/default.aspx