आपके सिस्टम या LOLDrivers पर खतरनाक 3-पार्टी ड्राइवर

क्या आप जानते हैं कि एक पूरी तरह से वैध ड्राइवर एक हमलावर को लंबे समय तक आपके सिस्टम में पंजीकरण करने का अवसर दे सकता है, इसे फिर से स्थापित करने के बाद भी अंदर ही रह जाता है? या अपने कंप्यूटर को एक ईंट में बदल दें? उदाहरण के लिए, कुछ हानिरहित प्रतीत होता है विश्वसनीय (हस्ताक्षरित) ड्राइवर संयोग से BIOS को अधिलेखित करने के लिए उपकरण हैं। इस तरह के हमले के बाद, केवल प्रोग्रामर ही बचाएगा।

विंडोज में, अतिरिक्त के साथ विश्वसनीय एप्लिकेशन / स्क्रिप्ट / लाइब्रेरी हैं उत्तेजक खतरनाक कार्यक्षमता जैसे कि मनमाना कोड निष्पादित करना, फाइलें डाउनलोड करना, यूएसी को दरकिनार करना आदि। यदि कर्नेल घटक में ऐसी अतिरिक्त कार्यक्षमता पाई जाती है, तो यह और भी दिलचस्प हो जाता है।

Windows Vista x64 के साथ शुरू, ड्राइवर हस्ताक्षर प्रवर्तन (DSE) नीति लागू होती है - सभी कर्नेल-स्तर के ड्राइवरों को हस्ताक्षरित होना चाहिए। यदि कोई हमलावर (उपयोगकर्ता / व्यवस्थापक अधिकारों के साथ) सिस्टम में घुसने के बाद अधिकतम स्तर की पहुंच प्राप्त करना चाहता है (कर्नेल रूटकिट / बूटकिट / एसएमएम-रूटकिट / BIOS-रूटकिट स्थापित करें), तो उसे किसी तरह ड्राइवर के लिए हस्ताक्षर की आवश्यकता को दरकिनार करना होगा। कर्नेल मोड में कर्नेल मोड से कुछ फ़ंक्शन या निर्देशों को कॉल करने की क्षमता एक हमलावर को विशेषाधिकारों को बढ़ाने, जानकारी का खुलासा करने या सेवा से इनकार करने का एक उपकरण दे सकती है। हम इस कार्यक्षमता को एक दोहरे उद्देश्य की कार्यक्षमता कहते हैं (कुछ मामलों में, इसे भेद्यता या बैकडोर कहा जा सकता है, हालांकि, सही परिभाषा पर चर्चा इस लेख के दायरे से परे है)।

DSE वर्कअराउंड

आइए देखें कि एक हमलावर को आमतौर पर डीएसई को बायपास करने के लिए कौन से विकल्प हैं (आपको किसी तरह रिंग 1 को भेदना चाहिए)। नीचे दी गई तालिका उनके फायदे और नुकसान (हमलावर के लिए, और सुरक्षा गार्ड ध्यान दें) के साथ DSE को बायपास करने के तरीकों को संक्षेप में बताती है। यह ध्यान देने योग्य है कि यह जानकारी विस्टा के साथ शुरू होने वाले विंडोज x64 पर लागू होती है।

जैसा कि आप तालिका से देख सकते हैं, एक दोहरे ड्राइवर के साथ हस्ताक्षरित ड्राइवर एक हमलावर के लिए डीएसई को बायपास करने का सबसे आकर्षक तरीका है।

खतरनाक या दोहरे उद्देश्य की कार्यक्षमता

आइए दुर्भावनापूर्ण क्षमताओं के उदाहरणों को देखें कि एक हमलावर खतरनाक दोहरे उद्देश्य वाले कार्यों की चालक की उपस्थिति में दिखाई देता है।

• स्तर / प्रणाली के लिए विशेषाधिकार वृद्धि। आवश्यक शारीरिक मेमोरी पढ़ें / लिखें। यह हमला किया जा सकता है, उदाहरण के लिए, एएसयूएमएपी ड्राइवर का उपयोग एएसयूएस से। ऐसा करने के लिए, भौतिक मेमोरी पढ़ें और EPROCESS संरचना खोजें (यह एक लिंक की गई सूची का एक तत्व है), फिर उस प्रक्रिया की तलाश में सूची के माध्यम से जाएं, जिसका विशेषाधिकार स्तर हम बढ़ाना चाहते हैं, साथ ही सिस्टम स्तर (उदाहरण के लिए, lasass, wininit) के साथ कुछ प्रसिद्ध प्रक्रिया। फिर लक्ष्य प्रक्रिया की संरचना के लिए सिस्टम प्रक्रिया संरचना के टोकन क्षेत्र के मूल्य की प्रतिलिपि बनाएँ। हमले का अधिक विस्तृत विवरण यहां दिया गया है ।
• SMEP अक्षम करना। ऐसा करने के लिए, आपको नियंत्रण रजिस्टर cr4 पर लिखना होगा (अधिक सटीक रूप से, इसके 20 वें बिट को रीसेट करें)। उदाहरण के लिए, bandainamcoonline.sys ड्राइवर न केवल SMEP को अक्षम करता है, बल्कि उपयोगकर्ता से पास किए गए पॉइंटर के अनुसार कोड को सहायक रूप से निष्पादित करता है। रुचि रखने वालों के लिए, ड्राइवर का विस्तृत विवरण वाला एक लेख है ।

• कर्नेल मोड में मनमाने कोड का निष्पादन। शारीरिक मेमोरी और एमएसआर को पढ़ना / लिखना आवश्यक है। इसका अर्थ पता (एमएसआर में से एक में स्थित) को बदलना है, जिससे हमलावर को कोड के स्थान के पते पर, सिस्टम कॉल करते समय संक्रमण हो जाएगा। यहाँ आप इसके बारे में अधिक जानकारी पा सकते हैं। पैचगार्ड रास्ते में हस्तक्षेप करेगा, लेकिन आप चाहें तो इसका पता लगा सकते हैं।

  
  

  चूंकि ड्राइवर और पैचगार्ड दोनों रिंग 0 में चलते हैं, इसलिए ड्राइवर को पैचगार्ड चेक (जब तक कि Microsoft इंटेल को सुनता है और दो सुरक्षा रिंगों के साथ मॉडल से आगे नहीं जाता है) तक ड्राइवर को अक्षम करने से रोकता है। Microsoft के कर्नेल डेवलपर्स इस तथ्य से अच्छी तरह वाकिफ हैं और इस कोड के स्थान को छिपाने के लिए विभिन्न क्रियाओं को करते हैं, इसके कार्यों और उपयोग की गई आंतरिक संरचनाओं को बाधित करते हैं। दूसरे शब्दों में, पैचगार्ड कोड को संशोधित करने से रोकने में असमर्थता के कारण, वे इसे छिपाने की पूरी कोशिश करते हैं।
  
  - ब्लंडेन बी। रूटकिट शस्त्रागार: सिस्टम के अंधेरे कोनों में बच और चोरी।

  
  
  मूल

  यह देखते हुए कि ड्राइवर कोड और पैचगार्ड कोड दोनों रिंग 0 में निष्पादित होते हैं, केएमडी को पैचगार्ड चेक को अक्षम करने से रोकने के लिए कुछ भी नहीं है (जब तक, निश्चित रूप से, माइक्रोसॉफ्ट इंटेल से एक क्यू लेता है और दो-रिंग विशेषाधिकार मॉडल से आगे निकल जाता है)। Microsoft के कर्नेल इंजीनियर इस तथ्य से पूरी तरह से वाकिफ हैं और सभी तरह के प्रोग्रामिंग कलाबाजी करते हैं ताकि जहां कोड रहता है, वह क्या करता है, और आंतरिक डेटा-स्ट्रक्चर्स को बाधित करने के लिए यह कलाबाजी करता है। दूसरे शब्दों में, वे आपको पैचगार्ड कोड को संशोधित करने से रोक नहीं सकते हैं, इसलिए वे इसे छिपाने के लिए नरक की तरह प्रयास करने जा रहे हैं।
  
  - ब्लंडेन बी। रूटकिट शस्त्रागार: सिस्टम के अंधेरे कोनों में बच और चोरी।

  
  
  
  

• BIOS प्रविष्टि। जंगली में एक उदाहरण लोजैक्स है । हमलावरों ने प्रसिद्ध RwDrv.sys को लिया और अपने गंदे उद्देश्यों के लिए इसका इस्तेमाल किया: उन्होंने BIOS पढ़ा, संशोधित किया और वापस लिखा। दुर्भावनापूर्ण कोड SPI- फ्लैश पर फर्मवेयर में बैठने के बाद से विंडोज को फिर से इंस्टॉल करने में मदद नहीं मिलेगी। यदि BIOS अधिलेखित असफल है (या विशेष रूप से अधिलेखित), तो यह भी अप्रिय होगा। किसी भी मामले में, आपको कष्टप्रद परिणामों को ठीक करने के लिए प्रोग्रामर के बाद ड्राइव करना होगा।
• SMI हैंडलर को बुलाओ। सबसे पहले, सभी BIOS रिंग0 मोड में कोड के खिलाफ समान रूप से रक्षाहीन नहीं हैं: पढ़ने / लिखने की सुरक्षा के लिए विभिन्न तंत्र हैं, इसलिए ऐसी स्थिति हो सकती है जहां आपको कम - एसएमएम मोड (सबसे विशेषाधिकार प्राप्त) में जाने की आवश्यकता होती है। कर्नेल मोड से वहां पहुंचने का एक तरीका SMI हैंडलर को खींचना है (अक्सर उनके बीच कमजोर होते हैं)। SMI हैंडलर को कॉल करने के लिए, आपको I / O पोर्ट पर लिखने में सक्षम होना चाहिए, और यह केवल ring0 विशेषाधिकारों के साथ किया जा सकता है। यही है, एक ड्राइवर जिसके पास I / O पोर्ट लिखने की क्षमता है, वह एक कमजोर SMI हैंडलर का पता लगाने में सक्षम है जो किसी हमलावर को SMM मोड में कोड निष्पादित करने की अनुमति दे सकता है। उदाहरण में, लेखक RwDrv.sys ड्राइवर का उपयोग करता है।
• सिस्टम के बारे में जानकारी। कर्नेल मेमोरी (भौतिक मेमोरी पढ़ने के माध्यम से) पढ़ना, BIOS पढ़ना, सिस्टम सेटिंग्स, कनेक्टेड डिवाइस और सक्षम / अक्षम सुरक्षा तंत्र के बारे में जानकारी (एमएसआर पढ़ने के माध्यम से, नियंत्रण रजिस्टर, इनपुट / आउटपुट पोर्ट तक पहुंच), कुछ मामलों में, एक ज्ञात हाइपरवाइजर का पता लगाया जा सकता है। MSR के माध्यम से VirtualBox की तरह)। इस कार्य के लिए, यहां तक ​​कि एक ड्राइवर जो केवल पढ़ सकता है, जरूरी नहीं कि वह लिख सकता है, सबसे अधिक उपयुक्त है। उदाहरण के लिए, बेलकैसॉफ्ट से रामकैप्ट्योरड्रीवर64. एसआई भौतिक मेमोरी पढ़ने के लिए उपयुक्त है।

यदि हम सीवीई के बारे में विभिन्न लेखों और नोट्स का विश्लेषण करते हैं, तो हम ड्राइवरों में रिंग 3 कार्यों से पहुंचते समय संभावित खतरनाक के कुछ वर्गीकरण को अलग कर सकते हैं। नीचे दी गई तालिका खतरनाक कार्यों और उनके बारे में जानकारी के स्रोतों को सूचीबद्ध करती है।

और यह संभावित खतरनाक कार्यों की पूरी सूची नहीं है। आप कर्नेल वर्चुअल मेमोरी को पढ़ने / लिखने, एमएमआईओ को पढ़ने / लिखने, पीसीआई उपकरणों के उपयोग आदि के बारे में भी बात कर सकते हैं।

सबसे बड़ी रुचि के साथ-साथ सबसे बड़ा खतरा (और इस तरह के कार्यों के साथ एक चालक का पता लगाने की सबसे बड़ी संभावना) पहले तीन कार्य हैं: एमएसआर रजिस्टरों को पढ़ना / लिखना, I / O पोर्ट पढ़ना, लिखना / लिखना और शारीरिक मेमोरी पढ़ना / लिखना। नियंत्रण रजिस्टरों का उपयोग करते हुए, आप कुछ सुरक्षा तंत्रों को बायपास कर सकते हैं, ध्वज रजिस्टर पर लिखकर आपको रिंग 3 में इनपुट / आउटपुट पोर्ट्स पढ़ने / लिखने में सक्षम बनाता है (वैसे, यह Habré पर इस लेख में उल्लिखित है), तृतीय-पक्ष चैनलों पर हमलों की सफलता (कैश एक्सेस करके, मॉनिटरिंग काउंटरों की निगरानी करके) प्रदर्शन / चक्र) सबसे अधिक संभावना नहीं है।

लास वेगास में DEFCON 27 सम्मेलन में इस सामग्री को बनाने की प्रक्रिया में, शोधकर्ताओं जेसी माइकल और मिकी शकाटोव ने "कर्नेल ऑफ द कैंट ड्राइव यदि आप" को पेपर प्रस्तुत किया, जो इस समस्या पर भी चर्चा करता है, और हम अनुशंसा करते हैं कि आप चित्र को पूरा करने के लिए इस सामग्री का अध्ययन करें। ऐसे ड्राइवरों का उपयोग करने के लिए परिदृश्य बहुत सरल और स्पष्ट हैं, और सबसे महत्वपूर्ण कार्यक्षमता के लिए जिम्मेदार कोड वर्गों के उदाहरण प्रस्तुत किए गए हैं। और समान ड्राइवरों को काम करने और खोजने के लिए कोड भी प्रदान करता है।

सामान्य तौर पर, यह ध्यान देने योग्य है कि यह विषय लंबे समय से सुरक्षा शोधकर्ताओं के बारे में चिंतित है। 2018 में वापस, शोधकर्ता अलेक्जेंडर मैट्रसोव ने अपने लेख में "क्या ओएस ड्राइवरों को BIOS के लिए खतरनाक बनाता है?" इस सवाल को उठाया और यह दिखाया कि BIOS का शोषण करना कितना सरल है।

डुअल-फंक्शन ड्राइवर

नीचे दोहरे उद्देश्य वाले ड्राइवरों के सबसे प्रसिद्ध प्रतिनिधि हैं।

• RwDrv.sys एक बहुत लोकप्रिय ड्राइवर है ( RWeverything उपयोगिता के साथ आता है)। भौतिक मेमोरी, I / O पोर्ट, MSR और कंट्रोल रजिस्टर को पढ़ता और लिखता है। यह विभिन्न PoCs में बार-बार इस्तेमाल किया गया था, और फिर पहले उल्लेखित Lojax rootkit में। C ++ में इसके लिए एक इंटरफ़ेस लिखा गया है, और इसे चिपसेट में भी उपयोग किया जाता है।

  
  

• cpuz / gpuz

  
  

  कर [V] HW IO फ़ज़िंग? GPU-Z.sys (हस्ताक्षरित) देखें। IOCTLs के माध्यम से / बाहर / MmMapIoSpace / wrmsr / आदि में लपेटें :) - http://t.co/VwCYsm97rr

  - कोस्त्या कॉर्टिंस्की (@ crypt0ad) 30 जनवरी, 2015

  
  

  पढ़ता है और भौतिक मेमोरी, पोर्ट और MSR लिखता है। इसे ( यहां और यहां ) उपयोग करने वाले कई पीओसी उपयोगिताओं हैं।

  
  

• pcdsrvc_x64 - अधिक जानकारी के लिए डेल से ड्राइवर, इस पोस्ट से संपर्क करें । आपको I / O पोर्ट में भौतिक मेमोरी पढ़ने / लिखने की अनुमति देता है।

  
  

• AsIO64.sys
  
  यह भौतिक मेमोरी और I / O पोर्ट को पढ़ने / लिखने की क्षमता प्रदान करता है, और इन अनुरोधों को पूरा करने के लिए एक सुविधाजनक dll भी आता है।

  
  

• Asmmap64.sys ASUS का एक और ड्राइवर है जो आपको शारीरिक मेमोरी, I / O पोर्ट और MSR पढ़ने / लिखने की अनुमति देता है। यह एक हमलावर के लिए विशेष रूप से सुखद होगा, क्योंकि ड्राइवर का उपयोग प्रशासक अधिकारों के बिना एक नियमित उपयोगकर्ता से किया जा सकता है। जिज्ञासु लोग स्रोत की ओर रुख कर सकते हैं।

  
  

• ntiolib_x64.sys / winio64.sys - MSI के ड्राइवर, उन्हें पहले वर्णित लेख में विस्तार से वर्णित किया गया है। Ntiolib_x64.sys का उपयोग करके आप भौतिक मेमोरी को पढ़ / लिख सकते हैं, I / O पोर्ट और MSR, winio64.sys MSR को छोड़कर इन सभी कार्यों को प्रदान करता है।

  
  

आमतौर पर, वर्णित खतरनाक कार्यों को कमजोरियों के रूप में पहचाना जाता है, अगर ड्राइवर बिना प्रशासक अधिकार (गलत एसीएल) के उपयोगकर्ता के लिए सुलभ है या जब वह सीधे मनमाने ढंग से कोड निष्पादित करने की अनुमति देता है (जैसा कि बैंडैनमकोऑनलाइन। एसवाईएस)। अन्य मामलों में, यह सिर्फ कार्यक्षमता है, और चूंकि उपयोगकर्ता के पास प्रशासक अधिकार हैं, वह सभी चालक कार्यों का उपयोग कर सकता है और यह आदर्श है।

यदि आपको लगता है कि एक दर्जन से अधिक ऐसे ड्राइवर नहीं हैं, तो आप बहुत गलत हैं। आप दिलचस्प ड्राइवरों के इस चयन को देख सकते हैं। इस सूची में ASUS, AVAST, रेजर, एलजी, अमेरिकन मेगेट्रेंड्स और अन्य प्रसिद्ध कंपनियों के ड्राइवर शामिल हैं। तो उनमें से बहुत सारे हैं, आपको बस खोज करने की आवश्यकता है। इसलिए, वे एक वास्तविक खतरा पैदा करते हैं।

यह खतरा Microsoft कर्मचारियों द्वारा भी समझा जाता है। और वे ऐसे ड्राइवरों के बारे में जानकारी के लिए आभारी होंगे;)

सिफारिशें

उपयोगकर्ताओं के लिए:

• आपको व्यवस्थापक खाते के तहत अनावश्यक रूप से नहीं बैठना चाहिए और यूएसी को अक्षम करना चाहिए (हालांकि इसके चारों ओर प्राप्त करना मुश्किल नहीं है)।
• आप ड्राइवरों को स्थापित करने की कोशिश कर रहे डिटेक्टर को स्थापित कर सकते हैं (उदाहरण के लिए, यहां )।
• यदि ऐसे ड्राइवरों के साथ उपयोगिताओं का उपयोग करना आवश्यक है (नैदानिक, BIOS को अपडेट करने के लिए, आदि), उपयोग के बाद ड्राइवरों को हटा दें।
• डिवाइस गार्ड सेट करें (यदि आप विंडोज 10 के खुश मालिक हैं)। इस तकनीक का उपयोग करके, आप अपनी स्वयं की कोड अखंडता नीति बना सकते हैं और कार्यक्रमों और प्रमाणपत्रों की सफेद सूची जोड़ सकते हैं। उदाहरण के लिए, पॉलिसी में वह आवश्यकता जोड़ें जो किसी भी कर्नेल-मोड ड्राइवर के पास Microsoft WHQL हस्ताक्षर होना चाहिए। इस पोस्ट में, आप इस उद्देश्य के लिए डिवाइस गार्ड की स्थापना के साथ खुद को बेहतर ढंग से परिचित कर सकते हैं।

निर्माता ऐसे ड्राइवरों को हस्ताक्षर नहीं करने से बेहतर हैं। यदि उपयोगकर्ता को BIOS को अपडेट करने की आवश्यकता है, तो कमजोरियों (हेलो, चिपसेक) के लिए सिस्टम की जांच करें, प्रदर्शन को मापें या कुछ अन्य जोड़तोड़ करें जिसमें ऐसे ड्राइवरों की स्थापना की आवश्यकता होती है, तो वह बहुत अच्छी तरह से टेस्ट मोड में जा सकते हैं, यह सब करें, और बाहर निकलें। तब उपयोगिता कम हो जाएगी, लेकिन सुरक्षा बढ़ जाएगी।

निष्कर्ष

यदि किसी चीज़ पर हस्ताक्षर किए जाते हैं, तो आप वैसे भी इस पर भरोसा नहीं कर सकते। सबसे पहले, आप ऐसा कुछ साइन कर सकते हैं, और दूसरी बात, एक हमलावर इस हस्ताक्षरित (भले ही वह किसी विश्वसनीय निर्माता से हो) का लाभ ले सकता है।

सूचना सुरक्षा विशेषज्ञों को खतरे के मॉडल की स्थितियों से बाहर नहीं होना चाहिए, जहां एक हमलावर को आक्रमण करने के लिए खतरनाक कार्यक्षमता वाले ड्राइवर की आवश्यकता होती है। ऐसे ड्राइवर काफी हैं; ऐसा करना काफी सरल है। यदि इस तरह के पॉप ड्राइवर के साथ RwEverything के साथ हमला नहीं किया गया है, लेकिन कुछ कम व्यापक रूप से ज्ञात के साथ, तो इसे पता लगाने के लिए और भी मुश्किल होगा। तो आपको सतर्क रहने की जरूरत है, ऐसी चीजों की निगरानी करें और प्रत्येक ड्राइवर को सिस्टम में बूट करने की अनुमति न दें।

लेखक: एलिसावेता खोमेन्को