Haittaohjelmista 100% varmuudella eroon – onko firmwareen pesiytyvä troijalainen edes mahdollinen?

[TLinden]

Kaverilla käytössä olleeseen MacBook Air M2:seen oli iskenyt jonkin sortin haittaohjelma, joka siirsi kymmeniä gigatavuja tietoa koneelta jonnekin Internetin syövereihin. Palomuurin logit paljastivat tämän ja kaveri poisti koneen käytöstä. Häneltä meni koneeseen luotto täysin, eikä suostu sitä enää käyttämään edes tyhjennettynä, mutta uskaltauduin hyväksymään koneen omaan käyttööni. Tämä M1/M2-maailma on jäänyt itselleni vielä vieraaksi, vaikka pari uutta tämmöisä konetta olen käyttöön asennellutkin. Millä varmistan, että saan tähän varmasti täysin puhtaan MacOS-asennuksen ja mikäli on olemassa niin edistyneitä haittaohjelmia, että voivat saastuttaa koneen firmwaresta lähtien, onko mahdollista pakottaa koneeseen firmwarepäivitys ja käyttöjärjestelmän uudelleenasennus niin, että järjestelmä on varmasti puhdas?

Oma epäilykseni on, että MacOs on pelkästään syystä tai toisesta saastunut ja sinne on asentunut jokin rootkitti, joka on tätä liikennettä tehnyt ilman, että sitä on missään näkynyt, mutta parempi kuitenkin pelata varman päälle. Kaverini on asian suhteen lähes vainoharhainen ja vaikka itse olen Macin tietoturvaan aika vahvasti tähän asti uskonut, niin alkoi hieman kanssa asia huolestuttaa, kun kone olisi kuitenkin tarkoitus ottaa ihan päivittäiseen käyttöön ja hoitaa sillä pankkiasioita yms.

[Andreas66]

Epäilyttää todella vahvasti että siellä olisi ollut mitään rootkittiä tai muutakaan vastaavaa. Olisi kiva nähdä nuo logit tai muut todisteet mistään imuroinneista.

[Ilkka66]

Joku selainhaitake tulee ensimmäisenä mieleen, en oikein usko firmware troijalaisen.

[TLinden]

Tilanne tosiaan vaikutti vähän erikoiselta, eikä ole aikaisemmin varsinkaan Macien kohdalla vastaavasta kuullut. Oliko näiden M1/M2-mallien kanssa niin, ettei MacOS:ia voi asentaa enää ulkoiselta medialta, vaan uudelleenasennus menee aina palautusosiolta tai sitten verkosta? Typerä kysymys, johon löytyisi toki varmasti Googlellakin heti vastaus.

Onko teille kellekään tullut lähivuosina varsinaisia Mac-viruksia tai Windows-maailmasta tuttuja ransomwareja vastaan?

[Ötsi Vik]

Voi asentaa edelleen käyttiksen ulkoiselta medialta. Mun ex-puolisolla oli vastaavanlainen tilanne. Telia otti yhteyttä, että sun koneella tapahtuu tällaista. Mitään ei löytynyt mistää, millään keinolla, vaikka pidän itseäni suht kokeneena tällaisissa. Tyhjensin sitten hänen molemmat Macinsä ja asensin niihin uudet käyttikset. Sen jälkeen ei ole epäilyttävää toimintaa tapahtunut. Vaihdoin varmuuden vuoksi myös hänen reitittimensä salasanan.

[Ilkka66]

Voihan se olla reititinkin, mikä on saastunut.

[homenamsi]

Tuollaisen Telian välittämän hälytyksen kanssa painiskelin taannottain. Esiintyi aikoina, jolloin käytin MacBook Prota joidenkin MS Teams-välitteisten webinaarien seuraamiseen. Koneessa on Mojave.

Telian välittämä Traficomin Kyberturvallisuuskeskuksen viesti ilmoitti kyseen olevan Adload-nimisestä haitakkeesta. Malwarebytes ei löytänyt mitään mutta Avast taisi löytää jotain tuon nimistä. Mutta kun se Avast valittelee kaikenlaisista jo 1990-luvun arkistoiduista sähköposteistakin, en antanut sen jäädä asumaan.

Todennäköisesti tuollainen Adload haitake oli päässyt uimaan jotain ihmeen kautta. Vahvin hypoteesini liittyy MS Teamsiin. Ajoittain tuollainen Teams-sessio on jäänyt tuntikausiksi roikkumaan avoimena itse webinaarin päätyttyä - Teamsille on tullut session alussa annettua kaikenlaisia oikeuksia ja avoimeen putkeen on ehkä päästy käsiksi.

Koneen kanssa samaa verkkoa käyttää kaksi muutakin konetta, joihin tuo ilmiö ei ole ulottunut.

Äkkiseltään en epäilisi mitään M1/M2-piiriä, firmwarea tei edes käyttöjärjestelmääkään. Reititin täytyy tietenkin sulkea ensin pois tarkistamalla sen asetukset. Sitten on pohdittava sovellusten ja niille annettujen oikeuksien roolia, erityisesti tietenkin selaimen tai selainten kautta tehdyt operaatiot. Nuo minun webinaaritkin lähtevät selainosoitteesta ja sitten sivu pyytää lupaa Teamsin käynnistämiselle tai lataamiselle. Väärennetty Teamskin on ketjussa mahdollinen.

Niin tai näin, paras lääke luottamuksen palauttamiseen olisi saada selvyys tapahtumien kulusta.

[Ilkka66]

Vahvasti epäilen, että MS Teams aiheuttaisi kyberturvallisuushälytyksiä auki jääneestä istunnosta. Sellaisia hälytyksiä kun tulisi aika paljon, MS Teams on niin yleisesti käytetty ohjelma.

[homenamsi]

No hypoteesi liittyy siihen, että auki jäänyt sessio olisi luonut edellytykset jollekin huomaamattomalle väliin tunkemiselle ja session talletus veisi ylimääräistä tavaraa mukanaan. Ei siis Teamsiin sinänsä.

Jotain oli ja meni. Menikö Avastin mukana vai palautustila/uudelleenasennus -kautta, jäi epäselväksi.

Roskapostistakaan ei ollut kyse kun Telian vastausosoitteesta tuli yksilöity vastaus.

[jeppe]

Kyllähän firmwareen upotettu haitake olisi varsinainen graalin malja rikollisille, ei olisi myöskään ensimmäinen kerta kun näin tapahtuu. Intressiä näihin haitakkeisiin varmasti siis löytyy ja myös niiden piilossa pitäminen on rikollisille tärkeää.

[TLinden]

Kaverilla oli käytössä sen verran järeä palomuuriratkaisu ennen operaattorin reititintä tekemässä logia kaikista verkon laitteista ja niiden generoimasta liikenteestä, että siitä ei ollut epäilystäkään, ettei liikenteen aiheuttaja olisi ollut tuo MacBook Air. Kovasti oli otettu yhteyttä useampiin yhteyden nopeutta mittaaviin palveluihin ja sitten oli välitetty useamman gigan edestä jotain kryptattuja paketteja epämääräisiin osoitteisiin. Olisiko kone osallistunut johonkin palvelunasetohyökkäykseen, jos nopeustestit osoittaneet yhteyden tarpeeksi nopeaksi ja ehkä välitetty jotain enemmän tai vähemmän laillista materiaalia jonnekin.

Itsellä ei tämmöisiä turvaratkaisuja ole, vain ihan perusreititin valokuituoperaattorin reitittimen perässä. Saa nähdä miten tuon koneen kanssa käy. Kone tyhjennetty ja palautettu tehdasasetukset ja asennettu Ventura uudestaan. Nyt latailen Sonomaa. Ehkä pitää luottaa, että mahdollinen haittaohjelma on jo hävinnyt.

[TLinden]

Niin piti kommentoida, että kaveri käyttö Operan selainta, joka perustuu nykyään Chromen koodiin. Olisiko haittaohjelma tosiaan tarttunut selaimen haavoittuvuuden kautta - alkuvuodestahan oli ainakin jotain haavoittuvuuksia tässä koodissa, mikä mahdollisti käyttäjän datan varastamisen. Se kyllä korjattiin melko nopeasti, Opera toisin viimeisenä.

Ja kaverilla oli BitDefenderin antivirus käytössä ja se ei ollut mitään havainnut.

[homenamsi]

En ole tuohon haavoittuvuuteen perehtynyt mutta periaatteessahan haavoittuuvuuden hyödyntäminen ei huolellisesti tehtynä jätä mitään jälkiä muualle kuin mahdollisiin lokeihin.

BitDefenderit ja vastaavat toimivat jälkijättöisesti verratessaan jälkiä joihinkin tunnisteisiin. Poikkeavan käyttäytymisen haistelijoitakaan ei voi virittää liian herkiksi, koska ’vääriä positiivisia’ tulisi liikaa.

Selvää on, että kehityksen myötä pitäisi verkkolaitteiden vähimmäisominaisuuksien - ja -vaatimusten - parantua niin, ettei kaikki verkkoon liitettyjen laitteiden tarvitsi käytännössä joutua kehittymään useamman turvatason verkkolaitteisi varsinaisen toiminnan ohella.

[KenSu]

Jälkeen päin on tietty vaikea varmaksi sanoa, mutta mitä todennäköisimmin kaveri on itse tietämättömyyksissään tai huolimattomuuttaan asentanut haittaohjelman koneelle. Tällaisia tulee usein jos asentaa ohjelman jostain epämääräisestä lähteestä. Jotkut ihan periaatteessa laillisetkin toimijat ovat epämääräisiä lähteitä, joiden malli perustuu siihen että ne uudelleenpaketoivat jonkun tunnetun ilmaisohjelman ja ujuttavat tähän uuteen pakettiin mukaan haitakkeen. Useimmiten nuo haitakkeet ovat mainosklikkejä tuottavia systeemejä.

Firmistason haittaohjelmaan en usko, se olisi melkoinen uutispommi. Macos:ssä käyttöjärjestelmän käynnistyslevykin on kryptograafisesti allekirjoitettu joten sinne ei voi käyttäjä (eikä haittaohjelma) asentaa mitään ei edes haitaketta. Jos asentaa niin kryptograafinen allekirjoitus ei enää täsmää eikä systeemi suostu käynnistymään tuolta levyltä.

[Ötsi Vik]

Jälkeen päin on tietty vaikea varmaksi sanoa, mutta mitä todennäköisimmin kaveri on itse tietämättömyyksissään tai huolimattomuuttaan asentanut haittaohjelman koneelle.

Vaikea uskoa tätä skenaariota, jos kerran se kaveri oli järkännyt järeän palomuuriviritelmän. Silloin tietää asioista jotain. Näitä tällaisia ohjelmia asentelevat eivät todellakaan edes tiedä mikä on palomuuri, eivätkä koskaan osaisi tulkita tai edes avata sellaisen lokia.

[Andreas66]

Tässä on aika monta jossia ja toisen käden tietoa. Todennäköisin vaihtoehto edelleen että on itse tehnyt jotain tilanteen aikaansaamiseksi, ja sitten ongelmaksi on helppo osoittaa joku kone kun se on itselle uusi ja outo -- joka kuitenkin on sieltä turvallisimmasta päästä.

Toinen vaihtoehto olisi kohdistettu hyökkäys nimenomaan tätä kaveria kohtaan, tekniikoilla joita valtiotason toimijat käyttävät vakoiluun. Joka on kuitenkin aika epätodennäköinen vaihtoehto.

[hot]

Kun otsikossa kysytään "onko firmwareen pesiytyvä troijalainen edes mahdollinen?", vastaan kysymykseen. Tehkää weppihaku sanoilla 'UEFI malware' ja 'Thunderbolt vulnerability'. Vastaus on 'On'. Mitä kaverin koneella on tapahtunut ja mikä on mahdollista kaverin koneella, on ihan toinen juttu.

[homenamsi]

Niin, olikos tässä edes mitään havaintoa mistään haittaohjelmasta? Eikö ainoa havainto ollut palomuurin raportoinnissa näkynyt yllättävä datan siirto?

Jos jokin palomuuri on käytössä niin silloin ilmeisesti käytetään verkon palveluita muuhunkin kuin sähköpostiin tai webbisivujen selaamiseen. Erinäköisten pilvipalvelujen omaan 'housekeepingiin' voi hyvin kuulua jokin uudelleensynkronointi tms., joista käyttäjä ei ole välttämättä tietoinen.

Jotain lokia tarkastelemalla on mahdotonta selvittää, onko käyttäytyminen normaalia 'pellinalaista' toimintaa joka perustuu palvelujen määrityksiin ja asetuksiin. Vain se lienee selvillä, ettei kyse ole käyttäjän suoraan aktivoimasta operaatiosta. Lokin aikaleimoista voi tietenkin yrittää muistella jotain omien tekemistensä suhteen mutta se oma loki on usein melko epäluotettavaa.

[Ilkka66]

Kun kerrain selaimessa on ollut haavoittuvuus, niin eiköhän tuo ole se luonnollisin reitti. Käyttäjän ei tarvitse muuta kuin käydä saastuneelle sivulla ja selain lataa haavoittuvuutta hyväksikäyttävän haittaohjelman.

[Cathi777]

Ja oli mistä oli kysymys, niin nyt vaan käyttiksen asennus uudestaan ja ongelma on sillä hoidettu. Sen jälkeen vaan kovaa ajoa.