Uusi OS X "demo"rootkit kehitetty

[securapple]

Hei!

Tuli vastaan tällainen : http://24.89.186.53/~defcon/Presentatio ... on_osx.pdf

Oli tehny oman "demo"-rootkitin Mirage v.0.1

En tiennytkään, että jokin nörtti olisi tehnyt rootkittiä OS X:lle mutta tässä mainitaan :
WeaponX by nemo
Kernel module (KEXT) for OS X < 10.3
First public OS X rootkit

Tämä Erikson pitää samaa puhetta muuallakin (Hacking At Random -konferenssi). Saa nähdä syntyykö tästä mitään kättä pidempää.

Sinänsä mielestäni tästäkään ei kannata mitään stressiä ottaa. Lähinnä kyseessähän on Proof Of Concept eli että ko. homma on mahdollista. Rootkitin asennus edellyttää kuitenkin..."arvatkaa" mitä?

Viimoisella sivulla on mukavannäköinen härveli!

[Macco]

Eli jos siis on Pantteri tai uudempi käyttis, niin tästä ei ole mitään vaaraa?

[morbusg]

^kext on "Kernel extension" l. "ytimen jatke" noin vapaasti käännettynä, eli ihan riippumatta mikä OSX -version, tai itseasiassa, riippumatta mikä *käyttöjärjestelmä*, niin tuo on "vaara" (siis kernelin jatkeet ylipäänsä, ei OSX-spesifi kext).
Mielestäni vähän samaa maalaisjärjetöntä sarjaa kuin "Leka on tietoturvauhka käyttöjärjestelmä <X>:lle".

[securapple]

Hei!

Winkkarissa on ajurit (drivers), linuxissa loadable kernel modules (LKM) ja OS X:ssä nämä kextit joilla omaa koodia saa ajettua kernel-tasolla. Kaikissa käyttiksissä on jokin tapa lisätä kolmannen osapuolen tekemää koodia ajettavaksi kernel-tasolla.

-Securapple

[mike.mcfin]

Kyse ei ole kextien käytöstä vaan nimenomaan menetelmästä hookata systemcall-table ilman kernelmode-koodia suoraan userlandistä.
Sama onnistuu winkkarissa ihan yhtä helposti patchaamalla SSDT (System Service Dispatch Table).

Jotta homma on mahdollista täytyy olla rootin oikeuksilla pyörivä ohjelma koneessa. Ko. softa sitten lennossa hookkaa halutut syscallit.
Asian tunnistaminen on ihan yhtä helppoa kuin hookkaaminen. Kuten artikkelissakin mainittiin niin verrataan syscall-tablea alkuperäiseen. Tai itse asiassa edes alkuperäistä ei tarvita koska oikeat systeemikutsut sijaitsevat tietyllä muistialueella ja hookatut kutsut täysin eri paikassa. "väärä" osoite on suht. helppo tunnistaa.

Macco; em. menetelmä toimisi kaikissa versioissa. 10.3 viittaus koskee pantterin jo olemassa olevaa (demo)rootkittiä (WeaponX).

[Mikael K.]

Kyse ei ole kextien käytöstä vaan nimenomaan menetelmästä hookata systemcall-table ilman kernelmode-koodia suoraan userlandistä.
Sama onnistuu winkkarissa ihan yhtä helposti patchaamalla SSDT (System Service Dispatch Table). --

Mitäh? Hookata, H2O, Userland, MikäMikäMaa, System Call, Spock kutsuu? Vai jotakin muuta? Voitko selventää ja kirjoittaa koodin avoimeksi? Viestisi jäi epäselväksi muutenkin.

[securapple]

Hei!

Sinänsä implementointitavasta (userland/kernel, kernelin räpläys muistisissa/levyllä) riippumatta rootkitin asennus vaatii aina salasanan antamista "haitta"ohjelmalle. Yleensä haittaohjelma hakee varsinaisen rootkitin netistä vasta tämän jälkeen.

Sinänsä rootkittien toimintaperiaatteet ylätasolla ovat samoja käyttiksestä riippumatta, toimivatko nämä samat konseptit lumileossa (mike.mcfin)?

Lumileossa taisi olla code-signing -vaatimus KEXT:eille, mutta miten se vaikuttaa esim suoraan muistissa olevien kernel-rakenteiden räpläämiseen?

64-bit winkkareiden patchguardhan juuri estää esim. SSDT:n räpläyksen : http://en.wikipedia.org/wiki/Kernel_Patch_Protection

-Securapple

[mike.mcfin]

Lumileossa taisi olla code-signing -vaatimus KEXT:eille, mutta miten se vaikuttaa esim suoraan muistissa olevien kernel-rakenteiden räpläämiseen?

Tämä oli jossain vaiheessa featurelistalla mutta en ole tarkistanut tuliko se mukaan. Se periaatteessa tietenkin estäisi kext-puolelta hookkaukset. Mutta mikäli tuo usermode->ring0 gateway toimii myös SL:ssä ei signauksesta ole apua. Teoreettistahan tämä koko jupakka on on mutta en pidä lainkaan hyvänä, että Millerin kaveri Dino meni julkaisemaan tuon rootkit-työkalupakkinsa kaikille halukkaille (löytyy dinon blokista jos koodia haluaa tutkailla).

64-bit winkkareiden patchguardhan juuri estää esim. SSDT:n räpläyksen : http://en.wikipedia.org/wiki/Kernel_Patch_Protection

Tuohonkin on muutamia kiertoteitä. Sehän pyrkii rajoittamaan pääsyä oleellisiin kernelin strukteihin ja viimeisenä keinona tarkistelee onko niitä sörkitty. Kun tarkistus alkaa sen voi havaita ja poistaa hookit siksi aikaa.

[securapple]

Kyse ei ole kextien käytöstä vaan nimenomaan menetelmästä hookata systemcall-table ilman kernelmode-koodia suoraan userlandistä.
Sama onnistuu winkkarissa ihan yhtä helposti patchaamalla SSDT (System Service Dispatch Table). --

Mitäh? Hookata, H2O, Userland, MikäMikäMaa, System Call, Spock kutsuu? Vai jotakin muuta? Voitko selventää ja kirjoittaa koodin avoimeksi? Viestisi jäi epäselväksi muutenkin.

Juuri tällaisten kommenttien vuoksi yritän välttää menemästä kovin teknisiin asioihin. Homppu näyttää olevan ilmeisesti väärä paikka puhua näin teknisistä asioista? Ei millään pahalla Mikael K, ymmärrän hyvin että kaikilla ei ole tarvetta perehtyä OS X:n syövereihin.

-Securapple

[Mikael K.]

Juuri tällaisten kommenttien vuoksi yritän välttää menemästä kovin teknisiin asioihin. Homppu näyttää olevan ilmeisesti väärä paikka puhua näin teknisistä asioista? Ei millään pahalla Mikael K, ymmärrän hyvin että kaikilla ei ole tarvetta perehtyä OS X:n syövereihin.

-Securapple

Teknisissä syövereissä ei ole mitään vikaa jos ne selittää myös maallikolle. Ongelman luonteeseen kuuluu, että teknisiä asioita ei voi ymmärtää jos perusteet eivät ole tiedossa. Tämän vuoksi jonkinlainen tulkkaaminen ja kansanomaistamien olisi avuksi. Jatkakaa tästä välikommentista huolimatta.

[MacFinn]

Mitens tämän nyt käy, kun SnowLeopardissa on joku haittaohjelmatarkastus, SL ketjusta pongasin tällaisen väitteen.

[jpva]

Mitens tämän nyt käy, kun SnowLeopardissa on joku haittaohjelmatarkastus, SL ketjusta pongasin tällaisen väitteen.

Snow Leopard sisältää suojan haittaohjelmia vastaan
Posted: 26 Aug 2009 12:20 AM PDT
Tietoturvayhtiö Intego kertoo perjantaina julkaistavan Snow Leopard -käyttöjärjestelmän sisältävän suojan haittaohjelmia vastaan. Yhtiöllä ei ole asiasta vielä tarkempaa tietoa, mutta testien perusteella Snow Leopard havaitsee esimerkiksi Safarilla imuroidussa levykuvassa piilevän haittaohjelman. Käyttöjärjestelmä varoittaa haittaohjelman vahingoittavan tietokonetta ja suosittelee siirtämään saastuneen levykuvan suoraan roskakoriin. Integon testissä Snow Leopard havaitsi RSPlug.A-troijalaisen.
Edit:Tuossa uutinen kokonaisuudessaan http://macmaa.com/2009/08/26/snow-leopa ... a-vastaan/

[mike.mcfin]

Tässä hieman selitystä Mikaelille ja muillekin...

Käyttöjärjestelmän ytimessä on eräänlainen taulukko järjestelmän perustoiminnoista. Esimerkiksi tiedostojen käsittely, säikeiden luonti, jne. Tämä taulukko on eräänlainen osoitekirja. Se kertoo, että esim. järjestelmäfunktio 73 sijaitsee muistiosoitteessa xxxx. Kaikki ohjelmat käyttävät lopulta näitä järjestelmäfunktioita ja kutsuvat niitä tuon osoitetaulukon kautta. Oli kyseessä sitten Finderin tiedostolistaus, komentorivin ls -komento tai virustutkan tiedostojen etsimistoiminto.

Tuo osoitetaulukko voidaan väärentää tai ns. kaapata (engl. hooking). Esimerkiksi tiedostolistauksen tuottavan funktion osoite voidaankin ohjata haittaohjelmassa olevaan funktioon. Tämän jälkeen sen parametrejä tai lopputulosta voidaan käsitellä halutulla tavalla.

Esimerkiksi jos halusit katsoa tietyssä hakemistossa olevan tiedostolistauksen voi haittaohjelma tutkia löytyykö palautteesta sen oma nimi ja poistaa sen listauksesta mutta palauttaa loput nimet aivan oikein. Tällöin mikään järjestelmässä olevista ohjelmista ei pysty normaalikonstein "näkemään" että koneessa olisi mitään ylimääräistä.

Sama voidaan tehdä (ja tehdäänkin) esimerkiksi Winkkarissa rekisterinkäsittely-funktioille, verkkoliikenteelle jne. Tällöin mm. palomuuri ei koskaan edes "näe" ulos lähtevää haittohjelman aiheuttamaa liikennettä.

[morbusg]

Mites, auttaako noi BSD kernel securelevelit* mitään tässä asiassa?
(*nämä)

[mike.mcfin]

Mites, auttaako noi BSD kernel securelevelit* mitään tässä asiassa?
(*nämä)

Jos koodia päästään ajamaan rootin oikeuksilla niin peli on käytännössä aina ohitse. Varsinkin jos se voidaan suorittaa kernelmodessa. Apple pystyisi parantamaan turvaa estämällä usermode-koodin suorittamisen kernelmodessa*. Ja kuten jo todettiin niin ilmeisesti SnowLeopardissa kextit (ajurit) täytyvät olla Applen signeeramia (digitaalisesti allekirjoitettuja ja varmennettuja).

*) kernel-mode on siis prosessorin tila jossa ajurit ja käyttöjärjestelmän ytimen koodi suoritetaan (ns. RING0-taso x86-prosessoreilla). Tällöin voidaan mm. vapaasti osoittaa mitä tahansa muistia koneesta löytyy ja lukea/kirjoittaa mihin halutaan.
Usermode (RING3) on tila jossa sovellusohjelmat ajetaan. Tällöin niillä on rajattu muistiavaruus eivätkä ne pääse käsiksi toisiin ohjelmiin tai järjestelmän ytimeen (noin niin kuin periaatteessa lyhyesti sanottuna).

Usermodesta kernelmoodiin siirtyminen tapahtuu erityisellä funktioilla (sysenter) tai keskeytyksellä. On kuitenkin olemassa kikkoja joilla siirtyminen voidaan tehdä "ilman käyttöjärjestelmän lupaa" eikä tällöin ole mitään rajoituksia ja se voi lukea & kirjoittaa käyttöjärjestelmän ytimen struktuureita kuten em. syscall-tablea.

[securapple]

Hei!

Ohessa pari selventävää kuvausta mikä rootkit oikein on:

esim. 1
palomuuri=> kernel : näytä avoimet verkkoyhteydet
kernel => rootkit : avoimet yhteydet : yhteys1,yhteys2, haittaohjelma3
rookit => palomuuri : avoimet yhteydet : yhteys1,yhteys2

esim. 2
activity monitor => kernel : näytä käynnissä olevat prosessit
kernel=>rootkit : prosessi1,prosessi2,haittaohjelmaprosessi1,prosessi3,haittaohjelmaprosessi2
rootkit => activity monitor : prosessi1,prosessi2,prosessi3

eli rootkit on kuin tulli, joka estää sille määritettyjen ohjeiden perusteella tiettyjen käyttiskomponenttien (prosessi, tiedosto, verkkoyhteys) paljastumisen. Näin se tekee antivirustuotetteet, palomuurin hyödyttömiksi. Tosin useilla AV-toimittajilla on tuote jolla rootkitteja voi etsiviä tuotteita mutta näiltäkin osin rootkitihavainto ei ole ikinä 100% varma sillä eihän mistä rootkitatun järjestelmän antamasta tiedosta tiedä onko se käynyt rootkitin "tullauksen" läpi.

Hyvän kuvan rootkitista saa katsomalla elokuvan "matrix". Siinä ihmiset on kytkettyyn matrix-rootkittiin, neo pääsee ykkösosan lopussa kernelmoden prosessiksi(ring0).

-Securapple