WINDOWS カーネルの電源を入れる
下の音波をクリックしてドラッグし、任意のポイントにスキップします。 あなたもすることができます 直接聞く Soundcloudで。
ダグ・アーモスとポール・ダックリンと。 イントロとアウトロの音楽 エディスマッジ.
あなたは私たちに聞くことができます Soundcloud, Apple Podcasts, Googleポッドキャスト, Spotifyは, 縫い合わせます そして、その良いポッドキャストが見つかるところならどこでも。 または単にドロップします RSSフィードのURL お気に入りのポッドキャッチャーに。
トランスクリプトを読む
ダグ。 ワイヤレス スパイウェア、クレジット カード スキミング、大量のパッチ。
NakedSecurityポッドキャストのすべてとそれ以上。
【ミュージックモデム】
皆さん、ポッドキャストへようこそ。
私は Doug Aamoth です。 彼はポール・ダックリンです。
ポール、どうしますか？
アヒル。 私はとても元気です、ダグ。
寒いけどまあまあ。
ダグ。 ここも寒いし、みんな体調悪いし…でも、あなたにとってはXNUMX月。
XNUMX月といえば、私たちはショーを私たちの 今週の技術史 セグメント。
今週はエキサイティングなエントリがあります。16 年 2003 月 XNUMX 日、CAN-SPAM 法が当時の米国大統領ジョージ W. ブッシュによって署名されて成立しました。
のバックロニム 未承諾のポルノとマーケティングの攻撃を制御する、CAN-SPAM は、受信者の同意を必要とせずにマーケティング メールを受信したり、個人がスパマーを訴えたりすることを許可しないなどの理由から、比較的無力であると見なされていました。
2004 年までに、この法律を実際に遵守していたスパムは 1% 未満であると考えられていました。
アヒル。 はい、後知恵でこれを言うのは簡単です…
…しかし、私たちの何人かが当時冗談を言ったように、彼らはそれを CAN-SPAM と呼んでいたと考えていました。 [笑い]
ダグ。 「あなたはスパムできます！」
アヒル。 「とてもソフトにソフトにアプローチすることから始めましょう」という考えだったと思います。
[WRY TONE] それが始まりでした。確かに、それほど多くはありませんでした。
ダグ。 [笑い] 最終的にはそこにたどり着きます。
悪く言えば…
…Microsoft Patch Tuesday – カウントしない限り、ここで見るものは何もありません 署名された悪意のあるカーネル ドライバー?!
アヒル。 実際にはいくつかあります。Sophos Rapid Response チームは、彼らが行ったエンゲージメントでこれらのアーティファクトを発見しました。
ソフォスだけでなく、少なくとも XNUMX つの他のサイバーセキュリティ研究グループが、最近これらのものに出くわしたとして Microsoft によってリストされています: Microsoft によって事実上承認のデジタルシールが与えられたカーネルドライバー.
マイクロソフトは現在、不正なパートナーを非難する勧告を出しています。
ハードウェアを作るふりをした会社を実際に作ったのか、特に危険なカーネル ドライバーを忍び込ませる目的でドライバー プログラムに参加したのか?
それとも、すでにプログラムに参加していた会社に賄賂を渡して、彼らと一緒にボールをプレーしたのでしょうか?
あるいは、Microsoft に「このカーネル ドライバーを作成する必要があります。認定してくれませんか?」と言う手段として使用されていることにさえ気付いていない会社にハッキングしたかどうか…
もちろん、認定済みのカーネル ドライバーの問題は、Microsoft による署名が必要なためです。Windows ではドライバーの署名が義務付けられているため、カーネル ドライバーに署名を取得できれば、ハッキングや脆弱性、またはサイバー攻撃の一部としてロードできるエクスプロイト。
ドライバーをインストールするだけで、システムは次のように動作します。 したがって、それをロードすることは許可されています。」
そしてもちろん、「ただの」管理者である場合よりも、カーネルの内部にいる場合の方がはるかに多くの損害を与えることができます。
特に、プロセス管理への内部アクセスが得られます。
管理者として、「XYZ プログラムを強制終了したい」というプログラムを実行できます。これは、ウイルス対策ツールや脅威ハンティング ツールなどです。
そして、そのプログラムもシャットダウンされないようにすることができます。なぜなら、それも管理者レベルであると仮定すると、どちらのプロセスも絶対に他のプロセスよりも優位に立つことができないからです。
しかし、オペレーティング システムの内部にいる場合、プロセスの開始と終了を処理するのはオペレーティング システムであるため、セキュリティ ソフトウェアなどを無効にするためのはるかに大きな力を得ることができます…
…どうやらそれこそが、これらの詐欺師たちが行っていたことです。
「繰り返される歴史」の中で、何年も前に、詐欺師がセキュリティ プログラムを終了させるために使用したソフトウェアを調査したときのことを思い出します。彼らは通常、100 から 200 のプロセスのリストを持っていました。プロセス、20 の異なるベンダーのウイルス対策プログラムなど、さまざまなものがあります。
今回は、ドライバーが強制終了するプログラムが 186 個あったと思います。
マイクロソフトにとっては少し恥ずかしいことです。
幸いなことに、彼らは現在、これらの不正なコーダーを開発者プログラムから追い出し、少なくともすべての既知の危険なドライバーをブロックリストに登録しています.
ダグ。 それだけではありません 火曜日のパッチで明らかに.
また、いくつかのゼロデイ、いくつかの RCE バグ、およびその性質の他のものもありました。
アヒル。 はい。
幸いなことに、今月修正されたゼロデイ バグは、RCE として知られているものではありませんでした。 リモートコード実行 穴。
そのため、外部の攻撃者がネットワークに飛び込んで何でも実行するための直接的なルートを提供しませんでした。
しかし、DirectX にはカーネル ドライバーのバグがあり、基本的に既にあなたのコンピューターにいる誰かが自分自身をカーネル レベルの権限を持つように宣伝することができました。
これは、自分の署名済みドライバーを持ち込むのと少し似ています。それをロードできることを *知っている* のです。
この場合、信頼できるドライバーのバグを悪用し、カーネル内で何かを実行できるようにします。
明らかに、それはすでに悪いニュースであるサイバー攻撃を非常に悪いものにするようなものです.
したがって、間違いなくそれに対してパッチを適用する必要があります。
興味深いことに、これは最新のビルド、つまり 2022H2 (今年の後半 Windows 2 の H11 の略です)。
あなたは間違いなくあなたがそれを持っていることを確認したい.
また、Windows SmartScreen には興味深いバグがありました。これは基本的に Windows のフィルタリング ツールであり、危険な可能性があるものや危険なものをダウンロードしようとすると警告が表示されます。
したがって、明らかに、詐欺師が見つけた場合、「ああ、いや！ このマルウェア攻撃は非常にうまく機能していましたが、Smart Screen がそれをブロックしています。どうすればよいでしょうか?」…
…彼らは逃げてまったく新しい攻撃を構築するか、Smart Screen を回避して警告が表示されないようにする脆弱性を見つけることができます。
それがまさに CVE-2022-44698 で起こったことです、ダグラス。
つまり、それらはゼロデイです。
あなたが言ったように、いくつかのリモート コード実行のバグが混在していますが、実際に出回っていることは知られていません。
それらに対してパッチを適用すると、単に追いつくのではなく、詐欺師に先んじることができます。
ダグ。 OK、パッチの話題にとどまろう…
…そして私はこれの最初の部分が大好きです 見出し.
「Apple はすべてにパッチを適用します」とだけ書かれています。
アヒル。 はい、すべてのオペレーティング システムを 70 文字以内で一覧表示する方法が思いつきませんでした。 [笑い]
それで、「まあ、これで文字通りすべてだ」と思いました。
そして問題は、前回アップルのアップデートについて書いたとき、それは iOSのみ (iPhone)、および iOS 16.1.2 のみ:
では、もし iOS 15 を持っていたら、何をするつもりだったでしょうか?
あなたは危険にさらされていましたか？
後でアップデートを入手するつもりでしたか？
今回、ついに最終更新のニュースがウォッシュで出てきました。
どうやら Doug さん、iOS 16.1.2 のアップデートを入手した理由は、現在 CVE-2022-42856 として知られている野生のエクスプロイトがあったためであり、それは Web レンダリング エンジンである WebKit のバグだったようです。アップルのオペレーティングシステムの内部。
そして、明らかに、そのバグは、ブービー トラップされたコンテンツを表示するように誘うだけでトリガーされる可能性があります。 ドライブバイインストール、ページをちらりと見ただけで、バックグラウンドで「ああ、親愛なる」とマルウェアがインストールされます。
どうやら、発見されたエクスプロイトは iOS でしか機能しなかったようです。
macOS (サポートされている XNUMX つのバージョンすべて)、tvOS、iPadOS には、実際にそのバグが含まれていましたが、Apple が他のすべてのプラットフォームのアップデートを急がなかったのはおそらくそのためです。
どうやらそうではなかった唯一のシステムはwatchOSでした。
つまり、そのバグはほとんどすべての Apple のソフトウェアにありましたが、どうやら、彼らが知っている限りでは、iOS での野生のエクスプロイトを介してのみ悪用可能でした.
しかし今、奇妙なことに、彼らは「15.1 より前の iOS でのみ」と言っているので、「その場合、なぜ iOS 15 のアップデートを出さなかったのか?」と不思議に思うでしょう。
私たちは知りません！
たぶん彼らは、iOS 16.1.2 を出したら、iOS 15 の何人かの人々がとにかくアップデートして、それで問題が解決することを望んでいたのでしょうか?
あるいは、iOS 16 に脆弱性がないことをまだ確信しておらず、十分なテストを行ってバグが脆弱ではないことを確認するよりも、アップデート (明確に定義されたプロセスがある) を公開する方が迅速かつ簡単だったのかもしれません。 iOS 16 で簡単に悪用されることはありません。
ダグ、私たちはおそらく決して知りませんが、これはすべて非常に魅力的な裏話です!
しかし、確かに、あなたが言ったように、Apple ロゴのある製品を持っているすべての人にアップデートがあります。
だから: 遅らせるな/今日やれ。
ダグ。 ベン＝グリオン大学の友人たちの話に移りましょう…彼らはまた戻ってきました。
彼らはいくつかの無線スパイウェアを開発しました - ちょっと気の利いた ワイヤレス スパイウェア トリック:
アヒル。 はい… 名前はわかりません。 彼らがそこで何を考えていたのかはわかりません。
彼らはそれを呼んだ COVID-bit.
ダグ。 少し奇妙です。
アヒル。 私たちは皆、何らかの形で COVID にかまれたことがあると思います…
ダグ。 多分それだけですか？
アヒル。 COV を表すことを意図しています 秘密の、そして彼らは何を言わない ID-bit を意味する。
「ちょこちょこ情報公開」かと思っていたのですが、なかなか面白い話です。
私たちはこの部門が行っている研究について書くのが大好きです.
…彼らはネットワーク エアギャップを破る方法を検討しています。ネットワーク エアギャップとは、他のすべてのものから意図的に分離している安全なネットワークを実行する場所です。
したがって、私たちのほとんどにとって、それは少なくとも家庭では大きな問題ではありません.
しかし、彼らが見ているのは、*あるネットワークを別のネットワークから物理的に遮断したとしても*、最近では、すべてのワイヤレスカード、Bluetoothカード、近距離無線通信カードを引き裂くか、ワイヤーを切断して壊すことです.回路基板上の回路トレースを使用して、ワイヤレス接続の動作を停止します…
…安全な領域への XNUMX 回限りのアクセスを取得した攻撃者または不正な内部関係者のいずれかが、ほとんど追跡できない方法でデータを漏洩できる方法はまだありますか?
そして残念なことに、あるコンピュータ機器のネットワークを別のネットワークから完全に遮断することは、あなたが思っているよりもはるかに難しいことがわかっています.
常連の読者は、彼らが以前に思いついた多くのことについて私たちが書いたことを知っているでしょう.
彼らは GAIROSCOPE を持っていました。これは、実際に携帯電話を再利用する場所です。 コンパスチップ 低忠実度のマイクとして。
ダグ。 [笑い] 私はそれを覚えています:
アヒル。 それらのチップは振動を十分に感知できるからです。
彼らはLANTENNAを持っていました.LANTENNAは、安全なエリア内にある有線ネットワークに信号を送る場所であり、ネットワークケーブルは実際には ミニチュアラジオ局.
彼らは、安全な場所の外で拾うことができるのに十分な量の電磁放射を漏らしているので、有線ネットワークをワイヤレス送信機として使用しています.
そして、彼らは冗談めかして FANSMITTER と呼んだものを持っていました。 明らかに、[ダイヤル ノイズ] ビー、ビー、ビー、ビー、ビーというように、スピーカーから曲を再生するだけなら、それはかなり明白です。」
しかし、CPU 負荷を変化させて、ファンの速度を上げたり下げたりするとどうなるでしょうか。 ファン速度の変更 セマフォ信号のようなものですか？
そして、この最新の攻撃で、彼らは次のように考えました。
この場合、彼らは電源を使用してそれを行うことができました。
彼らは、Raspberry Pi、Dell ラップトップ、およびさまざまなデスクトップ PC でそれを行うことができました。
彼らはコンピュータ自身の電源を使用しています。これは基本的に非常に高周波の DC スイッチングを行い、DC 電圧を切り刻み、通常は XNUMX 秒間に数十万回または数百万回減少させます。
彼らはそれが電磁放射を漏らす方法を見つけました - 彼らが携帯電話で最大2メートル離れた電波を拾うことができました…
…その携帯電話のワイヤレス機能がすべてオフになっていたとしても、デバイスから取り外されていたとしても。
彼らが思いついたトリックは、スイッチング速度を切り替え、スイッチング周波数の変化を検出することです。
より低い電圧が必要な場合 (たとえば、12V を 4V に切り下げたい場合)、方形波は XNUMX 分の XNUMX の時間オンになり、XNUMX 分の XNUMX の時間オフになります。
2V が必要な場合は、それに応じて比率を変更する必要があります。
また、最新の CPU は、電力と過熱を管理するために、周波数と電圧の両方を変化させることがわかっています。
したがって、CPU 内の 5000 つまたは複数のコアの CPU 負荷を変更することで (8000 秒間に XNUMX ～ XNUMX 回という比較的低い頻度でタスクを増やしたり減らしたりするだけで)、スイッチモードを実現することができました。これらの低周波数で*スイッチングモードを切り替える*ための電源。
そして、回路トレースや電源の銅線から非常に低周波の無線放射が発生しました。
そして彼らは、単純なワイヤーループと同じくらい洗練された無線アンテナを使用して、それらの放射を検出することができました!
では、ワイヤーループをどうするか？
ええと、ダグ、それがマイク ケーブルまたはヘッドフォン ケーブルであるふりをしますね。
3.5mm オーディオ ジャックに接続し、ヘッドホンのように携帯電話に接続します。
ダグ。 うわー。
アヒル。 ワイヤー ループから生成された音声信号を録音します。音声信号は、基本的に、拾った超低周波無線信号のデジタル表現であるためです。
彼らは、ラップトップを使用しているときは毎秒 100 ビット、Raspberry Pi を使用しているときは毎秒 200 ビット、最大で毎秒 1000 ビットまでのレートで、非常に低いエラー率でデータを抽出することができました。デスクトップコンピュータ。
AES キー、RSA キー、さらには小さなデータ ファイルなどを、このような速度で取得できます。
魅力的な話だと思いました。
古いことわざにあるように、「攻撃は良くなるか、賢くなるだけだ」ということわざがあるため、安全なエリアを運営している場合は、間違いなくこのようなものに遅れずについていく必要があります。
ダグ。 そしてローテク。 [笑い]
AESキーを盗むために使用されているこのアナログ漏洩があることを除いて、すべてがデジタルです.
魅力的です！
アヒル。 安全な壁の向こう側に何があるかを考える必要があることを思い出してください。
ダグ。 まあ、それは私たちにうまく適合します 最終話 – 目に見えないが、頭から離れていないもの:
Web ページを作成したことがある場合は、分析コード (JavaScript の小さな行) をそこにドロップして、Google Analytics や同様の企業が統計のパフォーマンスを確認できることを知っています。
2010 年代初頭に Cockpit と呼ばれる無料の分析会社があり、人々はこの Cockpit コード (JavaScript のこの小さな行) を Web ページに入れていました。
しかし、コックピットは 2014 年に閉鎖され、ドメイン名は失効しました。
そして 2021 年、サイバー犯罪者は次のように考えました。 彼らはまだこの JavaScript を呼び出しています。 ドメイン名を買収して、JavaScript の行をまだ削除していないこれらのサイトに、必要なものを何でも挿入できるようにしないでください。」
アヒル。 はい。
ダグ、何がうまくいく可能性がありますか?
ダグ。 [笑い] まさに！
アヒル。 XNUMX年！
彼らは、すべてのテストログに次のようなエントリを持っていたでしょう。 Could not source the file cockpit.js （またはそれが何であれ） from site cockpit.jp、 私はそれがそうだったと思う。
つまり、あなたが言うように、詐欺師が再びドメインに火をつけ、そこにファイルを置き始めて何が起こるかを確認すると…
…彼らは、多数の e コマース サイトが、顧客の Web ブラウザ内で詐欺師の JavaScript コードをやみくもに喜んで消費し、実行していることに気付きました。
ダグ。 [笑い声] 「ねえ、私のサイトはもうエラーをスローしません。機能しています。」
アヒル。 [信じられない] 「彼らはそれを修正したに違いない」…「修正された」という言葉の特別な理解については、ダグ。
もちろん、誰かの Web ページに任意の JavaScript を挿入できれば、その Web ページでやりたいことをほぼ実行できます。
特に、e コマース サイトをターゲットにしている場合は、本質的にスパイウェア コードを設定して、特定の名前付きフィールドを持つ特定の Web フォームを持つ特定のページを探すことができます。
…パスポート番号、クレジット カード番号、CVV など、何でも構いません。
そして基本的に、ユーザーが入力した暗号化されていない機密データ (個人データ) をすべて吸い出すことができます。
まだ HTTPS 暗号化プロセスに入っていないため、ブラウザーから吸い出し、*自分で* HTTPS 暗号化し、詐欺師が実行するデータベースに送信します。
そしてもちろん、Web ページが到着したときに積極的に変更することもできます。
したがって、誰かをウェブサイトに誘うことができます。それは*正しい*ウェブサイトです。 それは、彼らが以前にアクセスしたことがあり、信頼できるとわかっている (または信頼できると思っている) Web サイトです。
たとえば、そのサイトに通常は名前とアカウント参照番号を尋ねる Web フォームがある場合、ユーザーがそのサイトをすでに信頼していることを考えると、追加のフィールドをいくつか入力するだけで済みます…
…名前、ID、[アドイン]生年月日を言うと?
「本人確認の一環だと思う」と考えて、生年月日を入力する可能性が非常に高いです。
ダグ。 これは回避可能です。
から始めることができます Web ベースのサプライ チェーン リンクを確認する.
アヒル。 はい。
たぶん、XNUMX年にXNUMX回が始まりでしょうか？ [笑い]
あなたが見ていなければ、あなたは本当に問題の一部であり、解決策の一部ではありません.
ダグ。 また、ああ、わかりません… ログを確認してください?
アヒル。 はい。
繰り返しますが、XNUMX 年に XNUMX 回が開始される可能性がありますか?
前にポッドキャストで言ったことを言わせてください、ダグ…
…見たことのないログを収集する場合は、*まったく収集しないでください*。
冗談はやめて、データを収集しないでください。
なぜなら、実際には、データを収集していて見ない場合にデータに起こり得る最善のことは、間違った人が誤ってデータにアクセスしないことです.
ダグ。 もちろん、定期的にテストトランザクションを実行してください。
アヒル。 「XNUMX年にXNUMX回がスタート」というべきでしょうか。 [笑い]
ダグ。 もちろん、そうです…[WRY]それは十分に定期的かもしれません。
アヒル。 あなたが e コマース企業で、ユーザーがあなたの Web サイトにアクセスすることを期待している場合、特定のルック アンド フィールに慣れ、それを信頼してください…
…そして、ルック アンド フィールが正しいことをテストするのは、彼らのおかげです。
定期的かつ頻繁に。
そのように簡単です。
ダグ。 良く出来ました。
ショーが終わり始めたら、読者の XNUMX 人からこの話を聞いてみましょう。
ラリーのコメント:
Web ベースのサプライ チェーン リンクを確認しますか?
Epic Software がすべての顧客にメタ トラッキング バグを出荷する前にこれを行っていたらよかったのにと思います。
開発とは、インターネット上のあらゆる場所でコードの断片を見つけて、無批判に自分の成果物に貼り付けることだと考えている新世代の開発者がいることは確かです。
アヒル。 そのようなコードを開発しなければ…
…どこへ行っても、「わかりました。このライブラリを使用します。 私が見つけたこのすばらしい GitHub ページからダウンロードします。
ああ、それは他のものがたくさん必要です!?
ほら、自動で条件を満たしてくれるし……まぁ、そうしよう！」
残念ながら、*サプライ チェーンを所有する*必要があります。つまり、サプライ チェーンのすべてを理解する必要があります。
ソフトウェア部品表 [SBoM] に沿って考えている場合、「はい、使用するものをすべてリストします」と考える場合、使用するものの最初のレベルをリストするだけでは十分ではありません。
また、それらが依存しているすべてのものを知り、文書化し、信頼できることを知る必要があります。
小さなノミは背中に小さなノミを持っており、小さなノミは小さなノミを持っています。
*これが* サプライ チェーンを追跡する方法です。
ダグ。 よく言った！
わかりました、そのコメントを送ってくれてありがとう、ラリー。
送信したい興味深い話、コメント、または質問がある場合は、ポッドキャストでぜひお読みください。
tips@sophos.com に電子メールを送信するか、ソフォスの記事にコメントするか、ソーシャル (@NakedSecurity) でご連絡ください。
それが今日の私たちのショーです。 聞いてくれてありがとう。
ポール・ダックリンの場合、私はダグ・アーモスです。次回まで、次のことを思い出させてください…
どちらも。 安全を確保してください！
【ミュージックモデム】
- SEO を活用したコンテンツと PR 配信。 今日増幅されます。
- Platoblockchain。 Web3メタバースインテリジェンス。 知識の増幅。 こちらからアクセスしてください。
- 情報源： https://nakedsecurity.sophos.com/2022/12/15/s3-ep113-pwning-the-windows-kernel-the-crooks-who-hoodwinked-microsoft-audio-text/
