HITB 2013: नई सुविधाएँ और UEFI-bootkits

यह शायद ही याद रखने योग्य है कि HITB सुरक्षा विशेषज्ञों के लिए सबसे प्रसिद्ध सम्मेलनों में से एक है। इस साल यह एम्स्टर्डम, हॉलैंड, होटल ओकुरा में आयोजित किया गया था। आधिकारिक। सम्मेलन ट्विटर https://twitter.com/HITBSecConf इस वर्ष, स्क्रिब्स से दिलचस्प रिपोर्टों के अलावा, सम्मेलन में कई दिनों का प्रशिक्षण शामिल था, जो शोषण के बहुत लोकप्रिय विषय के लिए समर्पित था, जिसमें डेमो कारनामों, शेल कोड, हीप स्प्रे, आरओपी और अन्य को डिजाइन करना शामिल था। हम इस सम्मेलन से कुछ दिलचस्प रिपोर्टों के बारे में बात करना चाहते हैं।



दो दिनों के प्रशिक्षण की लागत 1499 यूरो थी और कार्यक्रम वास्तव में प्रभावशाली था।

रिपोर्ट में से एक निकिता तारकानोव (NTarakanov) द्वारा प्रस्तुत किया गया था। रिपोर्ट कर्नेल पूल ऑपरेटिंग तकनीक के लिए समर्पित है , और इसके लिए , दोष का उपयोग किया जाता है, जो NT के सभी संस्करणों में मौजूद है, 4.0 से शुरू होता है और NT 6.2 (विंडोज 8, ब्लू) के साथ समाप्त होता है ।

ध्यान दें कि "कर्नेल पूल एक्सप्लोरेशन ऑन विंडोज 7" नामक टार्जी मैंडेट (उर्फ कर्नेलपूल) का काम लंबे समय से कर्नेल पूल के संचालन के विषय में सबसे प्रसिद्ध में से एक बन गया है। निकिता ने अपनी रिपोर्ट में इस काम के साथ-साथ झेनहुआ ​​लियू के काम को भी संदर्भित किया, जिन्होंने ब्लैक हैट यूरोप '13 में अपनी रिपोर्ट प्रस्तुत की ।

कर्नेल पूल आवंटनकर्ता पूरे कर्नेल की सुरक्षा में महत्वपूर्ण भूमिका निभाता है। विंडोज 7 के बाद से, माइक्रोसॉफ्ट ने विंडोज कर्नेल पूल आवंटनकर्ता की सुरक्षा को बढ़ाने के लिए शुरू किया। टारजेई मैंड्ट उर्फ ​​@ कर्नेलपूल ने विंडोज कर्नेल पूल एलोकेटर के इंटर्नल का विश्लेषण करने में बहुत अच्छा काम किया है और कुछ बेहतरीन अटैक तकनीक, माइटीजेशन बाईपास आदि पाए हैं। विंडोज 8 में, हालांकि, माइक्रोसॉफ्ट ने कर्नेल पूल के भ्रष्टाचार के दोहन की लगभग सभी विश्वसनीय तकनीकों को समाप्त कर दिया है। तारजेई की एक हमले की तकनीक को सफल होने के लिए बहुत अधिक आवश्यक शर्तें हैं और कई प्रकार के पूल भ्रष्टाचार हैं जहां उनकी तकनीकें दुर्भाग्य से काम नहीं करती हैं।

आप यहां सामग्री डाउनलोड कर सकते हैं [zip - PDF + PPT]।



"ड्रीमबूट: ए यूईएफआई बूटकिट" नामक एक और दिलचस्प रिपोर्ट की घोषणा सेबस्टियन कक्ज़मारेक ने की थी। मुझे कहना होगा कि यह बहुत समय पर है, क्योंकि समुदाय लंबे समय से यूईएफआई नाम के तहत आधुनिक BIOS वास्तुकला के लिए संभावित बूटकिट्स के बारे में बात कर रहा है, कुछ जलाशयों ने दिनांक 2013 को कहा, जाहिर है कि वे गलत नहीं थे। रिपोर्ट यहाँ उपलब्ध है ।

यूनिफाइड एक्स्टेंसिबल फर्मवेयर इंटरफेस या यूईएफआई, इंटेल के लिए एक पहल के आधार पर कई निर्माताओं और उद्योग हितधारकों के एक साझा प्रयास का परिणाम है। यह एक नया सॉफ्टवेयर घटक या 'मिडलवेयर' है जो पारंपरिक उर्फ ​​पुराने BIOS को बदलने के लिए डिज़ाइन किए गए हार्डवेयर और ऑपरेटिंग सिस्टम के बीच परस्पर जुड़ा हुआ है।

यह प्रस्तुति विंडोज 8 x 64 के लिए बूटकिट कार्यान्वयन पर ध्यान देने के साथ सुरक्षा के दृष्टिकोण से यूईएफआई की समग्र वास्तुकला का एक अध्ययन है जो यूईएफआई फर्मवेयर का शोषण करता है: ड्रीमबूट। ड्रीमबूट में दो विशिष्ट पेलोड हैं: विशेषाधिकार वृद्धि और विंडोज स्थानीय प्रमाणीकरण बाईपास। ड्रीमबूट एक बूट करने योग्य आईएसओ के रूप में आता है, अधिमानतः एक शारीरिक हमले के भाग के रूप में उपयोग करने के लिए (यानी जब हमलावर के पास मशीन बाह्य उपकरणों की भौतिक पहुंच होती है: डीवीडी या यूएसबी पोर्ट)। यह VMWare वर्कस्टेशन या ESX जैसे वर्चुअलाइज्ड वातावरण में भी पूरी तरह कार्यात्मक है।

प्रस्तुति यह भी बताती है कि तियानकोर एसडीके का उपयोग करके यूईएफआई प्लेटफार्मों के लिए कैसे विकसित किया जाए और नई सुरक्षा इसकी तैनाती का जोखिम उठाती है। विंडोज बूट प्रक्रिया और BIOS से UEFI कार्यान्वयन तक इसके विकास को कवर किया जाएगा और सभी बूटकिट कार्यान्वयन विवरणों को समझाया जाएगा।

ध्यान दें कि बहुत समय पहले एएमआई फर्मवेयर यूईएफआई स्रोतों का रिसाव नहीं हुआ था, जिसमें एक निजी परीक्षण कुंजी थी।



स्रोत कोड सेट में फ़ंक्शंस पर एक विस्तृत व्याख्यात्मक मदद भी शामिल है, ताकि यह फ़र्मवेयर कोड के कामकाज की समझ को तेज़ कर सके या बढ़ा सके।

विशेष रूप से हमारे पोस्ट के लिए, UEFI और बूटकिट्स विषयों को जटिल खतरों के विश्लेषण में विशेषज्ञता वाले विशेषज्ञों द्वारा टिप्पणी की गई थी।

अलेक्जेंडर मैट्रोसोव [ESET वरिष्ठ सुरक्षा शोधकर्ता और टीम लीड]:

बूट प्रक्रिया के दौरान कर्नेल मॉड्यूल के लिए डिजिटल हस्ताक्षर सत्यापन को बायपास करने का सबसे आम तरीका बूटकिट कार्यक्षमता का उपयोग करना है। मैंने अपने प्रकाशन प्रौद्योगिकियों में बार-बार कवर किया है जो एमबीआर या वीबीआर को संशोधित करने के लिए उपयोग किया जाता है। लेकिन Win8 और विश्वसनीय बूट तकनीक की बढ़ती पैठ के साथ, SecureBoot ने सुरक्षा शोधकर्ताओं को केवल दूसरी दिशा में ध्यान केंद्रित करने के लिए प्रेरित किया। कल ही, यूईएफआई के लिए एक और ड्रीमबूट बूटकिट अवधारणा दिखाई दी, जो स्रोत में वितरित की गई है और सार्वजनिक डोमेन में है। BIOS की कई किस्मों के विपरीत, यूईएफआई में एक आम तौर पर सुलभ मानक है जिसे डेवलपर्स पालन करने की कोशिश कर रहे हैं। और अगर बड़े पैमाने पर संशोधन के लिए BIOS के मामले में विकसित एक्सटेंशन मॉड्यूल की अनुकूलता पर सवाल उठता है, तो यूईएफआई के लिए सब कुछ मानकीकृत है और ऐसे सामूहिक हमलों का भविष्य काफी वास्तविक है।

एरिक लोमन [सुरक्षा समाधान वास्तुकार सर्फ ]]:

मदरबोर्ड निर्माताओं के लिए, यूईएफआई एक महत्वपूर्ण कदम है। BIOS की तुलना में, UEFI का उपयोग करना बहुत आसान है, क्योंकि कोड को C में लिखा जा सकता है। BIOS की तुलना में एक बड़ा कदम आगे, जिसके लिए आप केवल 16-बिट असेंबलर पर प्रोग्राम कर सकते हैं।
यूईएफआई का उपयोग करने के लिए, निर्माताओं को अपने BIOS कोड आधार को पूरी तरह से फिर से लिखना होगा, जिसका उपयोग 30 वर्षों के लिए किया गया है। इसलिए एक प्लेटफॉर्म से दूसरे प्लेटफॉर्म पर जाने में काफी समय लगेगा। आज भी, कई निर्माता हैं जो मदरबोर्ड के लिए यूईएफआई के बजाय BIOS जारी करना जारी रखते हैं। तथ्य यह है कि पीसी बाजार की वृद्धि हाल ही में धीमी रही है, यूईएफआई निर्माताओं के लिए अच्छी खबर नहीं होगी।
तथ्य यह है कि पीटर क्लेस्नर, सेफफराइट्स, एलएडी 82 और क्वार्कस्लैब जैसे पुनर्विक्रेता बूटकिट्स की खोज कर रहे हैं, वास्तव में सुरक्षा उद्योग के लिए अच्छी खबर है। हमें यह समझना चाहिए कि दुर्भावनापूर्ण उपयोगकर्ताओं को उपयोग करने से रोकने के लिए संभावित कमजोरियाँ कहाँ स्थित हैं, जैसा कि हमने TDL4, Cidox, या Gapz के मामलों में देखा था। इस प्रकार, समय के साथ यूईएफआई का प्रसार, हमलावरों को जल्द या बाद में इस मंच द्वारा निर्देशित किया जाएगा। इसलिए ऐसा होने पर हम बेहतर तरीके से तैयार होंगे।

सम्मेलन सामग्री यहाँ हैं ।