हम MITER ATT और CK का अध्ययन करते हैं। मोबाइल मैट्रिसेस: डिवाइस एक्सेस। भाग २

दृढ़ता और विशेषाधिकार वृद्धि

सभी भागों के लिंक:
भाग 1. मोबाइल डिवाइस पर प्रारंभिक एक्सेस (आरंभिक एक्सेस)
भाग 2. दृढ़ता और वृद्धि
भाग 3. क्रेडेंशियल एक्सेस प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 4. रक्षा चोरी
भाग 5. डिस्कवरी और पार्श्व आंदोलन

पिनिंग तकनीकों का वर्णन है कि एक्सेस अधिकार कैसे प्राप्त करें, मोबाइल डिवाइस और अन्य कार्यों के कॉन्फ़िगरेशन को बदलें, जिसके परिणामस्वरूप एक हमलावर यह सुनिश्चित करता है कि सिस्टम में उसकी उपस्थिति निरंतर है। अक्सर, एक विरोधी को रिबूट या सिस्टम रीसेट के परिणामस्वरूप ओएस पर फ़ैसला करने के बावजूद मोबाइल डिवाइस तक पहुंच बनाए रखने के लिए मजबूर किया जाता है।

सिस्टम में पैर रखने के बाद, विरोधी को एक मोबाइल डिवाइस पर "लॉग इन" करने का अवसर मिलता है, लेकिन संभवत: कुछ सीमित अधिकारों के साथ। हालांकि, रक्षा कमजोरियों का लाभ उठाकर, एक विरोधी हमले के लक्ष्य को प्राप्त करने के लिए आवश्यक उच्च विशेषाधिकार प्राप्त कर सकता है।

लेखक लेख में निर्धारित जानकारी को लागू करने के संभावित परिणामों के लिए जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी एटीटी @ सीके मोबाइल मैट्रिसेस: डिवाइस एक्सेस की सामग्री का एक मुफ्त रीटेलिंग है।

बाइंडिंग (दृढ़ता)

दुरुपयोग को रोकने के लिए डिवाइस प्रशासक पहुंच का दुरुपयोग करें

प्लेटफ़ॉर्म: Android
विवरण: एक दुर्भावनापूर्ण एप्लिकेशन उपयोगकर्ता को डिवाइस व्यवस्थापक अधिकारों के लिए पूछ सकता है और, यदि विशेषाधिकार प्राप्त होते हैं, तो हेरफेर करें जो इसे हटाने के लिए मुश्किल बनाते हैं।

सुरक्षा सिफारिशें:
आवेदन पूर्व मान्यता
आमतौर पर, एप्लिकेशन शायद ही कभी प्रशासनिक पहुंच का उपयोग करते हैं। कॉर्पोरेट वातावरण में, अनुप्रयोगों की प्रारंभिक स्क्रीनिंग को ऐसे कार्यक्रमों की पहचान करना चाहिए जो आगे के गहन अध्ययन के लक्ष्य के साथ हों। मैगी और ज़ैनरो ने रैंसमवेयर अनुप्रयोगों की पहचान करने के लिए अनुप्रयोगों का स्थैतिक विश्लेषण करने के दृष्टिकोण का वर्णन किया जो डिवाइस व्यवस्थापक पहुंच का दुरुपयोग करते हैं। संक्षेप में, रैंसमवेयर अनुप्रयोगों का पता लगाने के लिए एपीके फ़ाइल में निम्नलिखित संकेतकों का प्रारंभिक पता लगाया जाता है: धमकी भरा पाठ, डिवाइस के डिवाइस के उपयोग को रोकने से जुड़ा एक कोड (गैर-हटाने योग्य संवाद, नेविगेशन बटन पर प्रतिबंध, स्क्रीन को खिड़की से भरना, आदि), डेटा एन्क्रिप्शन या व्यवस्थापक एपीआई का दुरुपयोग।

डिवाइस व्यवस्थापक पहुंच का उपयोग करते समय सावधानी
मोबाइल डिवाइस उपयोगकर्ताओं को चेतावनी दी जानी चाहिए कि वे प्रशासक के विशेषाधिकारों को अनुप्रयोगों के लिए अनुरोध स्वीकार नहीं करें। इसके अलावा, आवेदन की स्थापना से पहले प्रशासक के अधिकारों के उपयोग के लिए जाँच की जानी चाहिए, और डिवाइस तक व्यवस्थापक पहुंच का अनुरोध करने वाले आवश्यक अनुप्रयोगों का सावधानीपूर्वक अध्ययन किया जाना चाहिए और केवल तभी उपयोग करने की अनुमति दी जानी चाहिए जब कोई अच्छा कारण हो। एंड्रॉइड उपयोगकर्ता उन एप्लिकेशन की सूची देख सकते हैं जिनके पास डिवाइस सेटिंग्स में व्यवस्थापक अधिकार हैं।

नवीनतम OS संस्करणों का उपयोग करना
ओएस के नवीनतम संस्करण, एक नियम के रूप में, न केवल पैच होते हैं, बल्कि एक बेहतर सुरक्षा वास्तुकला भी होती है जो पहले से अनिर्धारित कमजोरियों के लिए प्रतिरोध प्रदान करती है। उदाहरण के लिए, एंड्रॉइड 7 ने प्रशासक अधिकारों के दुरुपयोग की संभावना को रोकने के लिए बदलाव पेश किए।

बूट डिवाइस पर ऑटोस्टार्ट एप्लिकेशन (डिवाइस बूट में ऐप ऑटो-स्टार्ट)

प्लेटफ़ॉर्म: Android
विवरण: एंड्रॉइड एप्लिकेशन BOOT_COMPLITED प्रसारण संदेशों के प्रसारण को सुन सकता है, जो उपयोगकर्ता द्वारा मैन्युअल रूप से इसे शुरू करने की प्रतीक्षा किए बिना, हर बार डिवाइस को चालू करने की सक्रियता की गारंटी देता है। BOOT_COMPLITED Android में एक प्रसारण कार्यक्रम है, जो OS बूट प्रक्रिया के अंत के बारे में अनुप्रयोगों को सूचित करता है। किसी विशेष ब्रॉडकास्टसीवर रिसीवर से लैस कोई भी एप्लिकेशन प्रसारण संदेश प्राप्त कर सकता है और उनके आधार पर कार्रवाई कर सकता है। 2012 में प्रकाशित एंड्रॉइड के लिए 1260 दुर्भावनापूर्ण अनुप्रयोगों के विश्लेषण से पता चला कि 83.3% मैलवेयर ने BOOT_COMPLITED की बात सुनी।

सुरक्षा सिफारिशें: कॉर्पोरेट वातावरण में, ब्रॉडकास्टसीवर की घोषणा करने वाले कार्यक्रमों की पहचान करने के लिए एप्लिकेशन सत्यापन को व्यवस्थित करना संभव है, जिसमें BOOT_COMPLITED द्वारा एक आशय फ़िल्टर शामिल है। हालांकि, इस व्यवहार के साथ अनुप्रयोगों की संख्या में भारी वृद्धि को देखते हुए, यह विधि अत्यंत अव्यावहारिक है।

OS कर्नेल या बूट विभाजन को संशोधित करें (OS कर्नेल या बूट विभाजन को संशोधित करें)

प्लेटफ़ॉर्म: Android, iOS
विवरण: विशेषाधिकारों को बढ़ाने के लिए एक अवसर का नाम, एक विरोधी ओएस के कर्नेल में दुर्भावनापूर्ण कोड या बूट विभाजन के घटकों को रखने का प्रयास कर सकता है, जहां कोड का पता नहीं लगाया जा सकता है, डिवाइस को रिबूट होने के बाद बचाया जाएगा, और उपयोगकर्ता द्वारा हटाया नहीं जा सकता। कुछ मामलों में (उदाहरण के लिए, सैमसंग नॉक्स का उपयोग करते समय), एक हमले का पता लगाया जा सकता है, लेकिन डिवाइस को कार्यात्मक कार्यक्षमता मोड में स्थानांतरित करने की ओर ले जाएगा।

कई एंड्रॉइड डिवाइस विकास उद्देश्यों के लिए बूटलोडर को अनलॉक करने की क्षमता प्रदान करते हैं, लेकिन यह कार्यक्षमता दुर्भावनापूर्ण रूप से कर्नेल को अपडेट करने या बूट विभाजन कोड को संशोधित करने की क्षमता प्रदान करती है। यदि बूटलोडर को अनलॉक नहीं किया गया है, तो कर्नेल कोड को अपडेट करने के लिए कमजोरियों का फायदा उठाने के संभावित अवशेष।

सुरक्षा सिफारिशें: सुरक्षा अद्यतन स्थापित करें, दूरस्थ प्रमाणीकरण प्रणाली (एंड्रॉइड सेफ्टीनेट, सैमसंग KNOX TIMA) को लागू करें और गैर-प्रमाणित उपकरणों के लिए कॉर्पोरेट संसाधनों तक पहुंच को अवरुद्ध करें। बूटलोडर लॉक स्थिति की जांच का आयोजन उन उपकरणों पर करें जो बूटलोडर को अनलॉक करने की क्षमता प्रदान करते हैं (इसलिए किसी भी ओएस कोड को डिवाइस पर लिखने की अनुमति देते हैं)।

एंड्रॉइड सेफ्टी नेट अटैचमेंट एपीआई का उपयोग दूरस्थ रूप से पहचाने जाने और समझौता किए गए उपकरणों का जवाब देने के लिए किया जा सकता है। सैमसंग KNOX सैमसंग Android उपकरणों को दूर से मान्य करने की क्षमता प्रदान करता है। सैमसंग KNOX उपकरणों में एक "गैर-प्रतिवर्ती नॉक्स वारंटी बिट फ़्यूज़" शामिल है जो कि काम करेगा यदि गैर-KNOX कर्नेल डिवाइस पर लोड किया गया हो। जब ट्रिगर किया जाता है, तो एंटरप्राइज़ KNOX कंटेनर सेवाएं डिवाइस पर उपलब्ध नहीं होंगी। जैसा कि iOS सुरक्षा गाइड में वर्णित है, अनधिकृत परिवर्तनों का पता चलने पर iOS डिवाइस बूट नहीं कर सकते हैं या डिवाइस सक्रियण की अनुमति नहीं दे सकते हैं। कई एंटरप्राइज़ एप्लिकेशन अपने स्वयं के चेक प्रदर्शन करते हैं और समझौता किए गए उपकरणों का जवाब देते हैं। इस तरह के चेक एक विश्वसनीय साधन नहीं हैं, लेकिन वे समझौते के प्राथमिक संकेतों का पता लगा सकते हैं।

सिस्टम विभाजन को संशोधित करें

प्लेटफ़ॉर्म: Android, iOS
विवरण: यदि विपक्षी विशेषाधिकारों को बढ़ा सकता है, तो वह उन्हें डिवाइस के सिस्टम विभाजन में दुर्भावनापूर्ण कोड रखने के लिए उपयोग करने में सक्षम होगा, जहां ओएस के रिबूट होने के बाद उसे बचाया जाएगा और उपयोगकर्ता द्वारा हटाने के लिए आसानी से सुलभ नहीं होगा। कई एंड्रॉइड डिवाइस आपको विकास के उद्देश्यों के लिए बूटलोडर को अनलॉक करने की अनुमति देते हैं। सिस्टम विभाजन को संशोधित करने के लिए इस सुविधा का उपयोग एक विरोधी द्वारा भी किया जा सकता है।

सुरक्षा सिफारिशें: सत्यापित बूट समर्थन वाले एंड्रॉइड डिवाइस सिस्टम विभाजन की अखंडता का क्रिप्टोग्राफिक सत्यापन करते हैं। एंड्रॉइड सेफ्टीनेट एपीआई का उपयोग समझौता किए गए उपकरणों की पहचान करने के लिए किया जा सकता है। सैमसंग KNOX भी दूर से समर्थित उपकरणों को नियंत्रित करने की क्षमता प्रदान करता है। IOS डिवाइस बूट नहीं होंगे या किसी ऐसे डिवाइस की सक्रियता की अनुमति नहीं देंगे जिसमें अनधिकृत परिवर्तनों का पता लगाया जाए।

टीईई संशोधन (विश्वसनीय निष्पादन पर्यावरण को संशोधित करें)

प्लेटफ़ॉर्म: Android
विवरण: उपयुक्त विशेषाधिकारों के साथ, एक हमलावर डिवाइस के किसी विश्वसनीय रनटाइम (TEE) में दुर्भावनापूर्ण कोड या किसी अन्य समान पृथक रनटाइम को रखने का प्रयास कर सकता है, जहां कोड का पता लगाने योग्य नहीं है, डिवाइस को रिबूट होने के बाद बचाया जाएगा, और उपयोगकर्ता द्वारा हटाया नहीं जा सकता। टीईई में निष्पादन कोड डिवाइस संचालन को नियंत्रित करने या मिथ्याकरण करने की क्षमता के साथ एक विरोधी प्रदान करेगा।

सुरक्षा युक्तियाँ: डिवाइस को उस समय कोड पर अखंडता जांच करनी चाहिए जो बूट समय पर टीईई में चलती है। सुरक्षित एनक्लेव में चल रहा कोड डिजिटल हस्ताक्षर सत्यापन विफल होने पर iOS बूट नहीं होगा।

कैश्ड निष्पादन योग्य कोड को संशोधित करें

प्लेटफ़ॉर्म: Android
विवरण: प्रदर्शन में सुधार करने के लिए, एंड्रॉइड रनटाइम (एआरटी) एप्लिकेशन इंस्टॉलेशन के लिए मशीन कोड में बाईटेकोड (classes.dex) को संकलित करता है। यदि कोई हमलावर विशेषाधिकार बढ़ाता है, तो वह इस कैश्ड कोड को संशोधित कर सकता है। चूंकि कोड मूल रूप से डिवाइस पर संकलित किया गया था, सिस्टम विभाजन से कोड के विपरीत, अखंडता नियंत्रण उस पर लागू नहीं होता है।

सुरक्षा सिफारिशें: मोबाइल ओएस के नवीनतम संस्करणों का उपयोग करें और सुरक्षा पैच की अनिवार्य स्थापना।

विशेषाधिकारों में वृद्धि

एक्सप्लॉइट OS वल्नेरेबिलिटी एक्सप्लॉइट

प्लेटफ़ॉर्म: Android, iOS
विवरण: दुर्भावनापूर्ण एप्लिकेशन उन्नत विशेषाधिकार प्राप्त करने के लिए मोबाइल OS की अप्रकाशित कमजोरियों का फायदा उठा सकते हैं।

सुरक्षा सिफारिशें: ज्ञात कमजोरियों के लिए आवेदन की जाँच करें। सुरक्षा अद्यतन स्थापित करें। नवीनतम OS संस्करणों का उपयोग करना।

शोषण TEE भेद्यता शोषण

प्लेटफ़ॉर्म: Android
विवरण: दुर्भावनापूर्ण एप्लिकेशन या अन्य अटैक वैक्टर का उपयोग विश्वसनीय निष्पादन वातावरण (TEE) में निष्पादित कोड में कमजोरियों का फायदा उठाने के लिए किया जा सकता है। फिर विरोधी को वे विशेषाधिकार प्राप्त हो सकते हैं जिनमें टीईई शामिल है, जिसमें क्रिप्टोग्राफिक कुंजी या अन्य संवेदनशील डेटा तक पहुंचने की क्षमता शामिल है। टीईई पर हमला करने के लिए, एक विरोधी को पहले उन्नत ओएस विशेषाधिकार की आवश्यकता हो सकती है। यदि नहीं, तो ओएस कमजोरियों का फायदा उठाने के लिए टीईई विशेषाधिकारों का उपयोग किया जा सकता है।

सुरक्षा सिफारिशें: ज्ञात कमजोरियों के लिए आवेदन की जाँच करें। सुरक्षा अद्यतन स्थापित करें। नवीनतम OS संस्करणों का उपयोग करना।