Автор: icbook , 2 августа 2014
Содержимое данного поля является приватным и не предназначено для показа.
О текстовых форматах

BBCode (added in Drupal 11)

  • HTML-теги не обрабатываются и показываются как обычный текст
  • You may use the following BBCode tags:
    • [align]
    • [b]
    • [code]
    • [color]
    • [font]
    • [hr]
    • [i]
    • [img]
    • [list]
    • [quote]
    • [s]
    • [size]
    • [spoiler]
    • [sub]
    • [sup]
    • [table]
    • [u]
    • [url]
  • Адреса веб-страниц и email-адреса преобразовываются в ссылки автоматически.

Случайный_Гость (не проверено)

11 лет 6 месяцев назад

Насколько я понял, описываемый тип вирусов содержит блок, предназначенный для выполнения не на CPU, а на внутреннем микроконтроллере USB-устройства? В устройство он может передаваться командой Download Microcode. Аналогичные вещи можно делать для SATA/IDE.

Для частного случая (конкретной модели флэшек) – вполне реально, для общего случая вирусописателю будет трудно поддерживать всю номенклатуру устройств в условиях отсутствия унификации. Вспомните WinCIH который не на всех чипсетах мог стереть BIOS.

icbook

11 лет 6 месяцев назад

Непонятно, в какой момент должно инициализироваться зловредное ПО на стороне хоста? Ведь контроллер USB-устройства, будь он хоть трижды умным, мощным и автономным, должен следовать в русле выполнения хостового ПО. Ну, и Download Microcode по типу Cypress – это тоже вещь в себе. Тут Вы совершенно правы.
Больше похоже на страшилку, не правда ли? С определенной долей оговорок, касающихся задействованной "потусторонней" памяти в процессе хенд-шейка. В связи с этим и реанимирован термин "бирус".

Случайный_Гость (не проверено)

11 лет 6 месяцев назад

Если вирус модифицирует firmware хост-контроллера USB, то результат может быть
значительно серъезнее: получится bus-master устройство, вышедшее из подчинения
центрального процессора и способное выполнять чтение и запись памяти по любым
адресам. Уместно вспомнить, что для некоторых дискретных контроллеров USB
(например Renesas), загружаемое при каждом старте Firmware может храниться
в составе BIOS. Сказанное отностится ко многим дискретным контроллерам, не
только к контроллерам USB. А вот ресурсы в составе южного моста чипсета менее
открыты для таких действий.

Что это даст вирусу? Два примера:

Защиту памяти, используемую в технологии виртуализации VT-x так обойти можно:
при VT-x супервизор мониторит настройку bus-master устройств гостевыми задачами
в расчете на то, что устройство будет обращаться только по запрограммированным
адресам (то есть полностью подчиняется хосту).

Защиту памяти, используемую в технологии виртуализации VT-d так обойти нельзя:
там каждое bus-master устройство снабжается своим модулем DMA remapping,
который контролирует финальный результат - адреса, формируемые устройством,
а не последовательность его инициализации. Ситуация "некорректный bus-master
адрес при корректной настройке устройства" здесь будет перехвачена.

savely

11 лет 6 месяцев назад

там каждое bus-master устройство снабжается своим модулем DMA remapping


О! Меня тут живо интересует вопрос - откуда берется "свой модуль DMA remapping" для некоего bus-master устройства, воткнутого в слот?
Насколько я въехал на данный момент - таблицы ремаппинга живут в АCPI. И существуют там для заведомо известных устройств (т.е. набортных).
А вот как с произвольными внешними девайсами - что-то я не вкурил пока...

Случайный_Гость (не проверено)

11 лет 6 месяцев назад

Модуль DMA remapping является частью компонента, в составе которого реализован
порт PCI Express, к которому подключено устройство. Порты PCI Express в современных
платформах реализованы средствами процессора и чипсета (Platform Controller Hub),
соответственно в CPU и PCH, если они поддерживают VT-d есть такие модули.
В ACPI есть таблица с сигнатурой "DMAR" которая декларирует наличие и
конфигурацию модулей DMA remapping. А также минимальные сведения, необходимые
для работы bus-master устройств до старта ОС. А вот таблицы трансляции адресов,
которые интерпретирует модуль DMA remapping при трансляции виртуальных адресов в
физические для всех устройств создает операционная система, поддерживающая
виртуализацию. Эти таблицы похожи на Paging Tables для процессора, знакомые
нам со времен Intel 386.
См. "Intel Virtualization Technology for directed I/O. Architecture Specification."

savely

11 лет 6 месяцев назад

Ясно - RTFM. :)) Сказать в вопросе больше - не могу. Ответ на "где мы находимся? - на воздушном шаре" получен. Вопросов больше не имею.

Случайный_Гость (не проверено)

11 лет 6 месяцев назад

Напротив, все очень просто. Устройство, установленное в слот обслуживает модуль DMA remapping,
входящий в состав чипсета или процессора, в зависимости от того, куда подключен рассматриваемый
слот: к порту обслуживаемому чипсетом или процессором.

Случайный_Гость (не проверено)

11 лет 6 месяцев назад

При написании собственного VT-d монитора (или вируса), стартующего до или вместо ОС, чтобы организовать DMA-remapping для заданного устройства, делать нужно так:

1) Локализовать ACPI-таблицу DMAR (DMA Remapping Table).
2) Проверить поддерживается ли DMA remapping для PCIe порта, используемого устройством (по адресу устройства - Bus/Device/Function).
3) Извлечь из таблицы DMAR базовый адрес блока регистров управления блока Remapping Unit.
4) Подготовить в оперативной памяти таблицы трансляции, постранично описывающие виртуальное адресное пространство, создаваемое для bus-master устройства.
5) Настроить блок Remapping Unit, используя memory-mapped i/o регистры, локализованные на шаге 3. А именно - установить указатель на корневую таблицу трансляции, созданную на шаге 4 и включить трансляцию, установить бит TE(Translation Enable)=1.

Начиная с этого момента, выдача bus-master устройством адреса X будет приводить к появлению на шине памяти адреса F(X), где функция F(X) определяется содержимым страниц, созданных на шаге 4.

Сказанное справедливо как для On-Board устройства, так и устройства в слоте PCIe.

icbook

11 лет 6 месяцев назад

> Если вирус модифицирует firmware хост-контроллера USB...

Тема беседы -- вирус на внешнем USB-носителе. Вырисовывается пошаговая схема: этот вирус сначала искажает работу USB хост-контроллера. Очевидно же, что это может происходить только со стороны системного хоста.

Случайный_Гость (не проверено)

11 лет 6 месяцев назад

Модифицировать прошивку USB-устройства можно и без искажения прошивки
хост-контроллера, дав команду Download Microcode на обычном исправном контроллере.
Да, признаю, отклонился от темы (или развил ее), перейдя на хост-контроллеры,
так как искажение прошивки хост-контроллера значительно опаснее по причинам,
детально рассмотренным в обсуждении.
Но в любом случае, какую бы цепочку событий мы не рассматривали, все начинается с хоста,
то есть кода, выполняемого на CPU.
На "страшилку" может быть и похоже, но слишком много "страшилок" и в жизни и в технике
в последнее время стали реальностью.

icbook

11 лет 6 месяцев назад

Идея выполнения автономным контроллером USB-флешки злонамеренного ПО становится то ли страшилкой, то ли фактом в силу того, что некто Карстен Нол (deutscher Kryptospezialist) это демонстрирует чуть ли не прилюдно: http://www.macrumors.com/2014/07/31/usb-security-threat/

Случайный_Гость (не проверено)

11 лет 6 месяцев назад

Там речь не только о флэшках, но и об устройствах ввода.
Да, я понял в чем ошибка: пока мы тут с умным видом рассуждаем про
VT-d и ACPI DMAR, инфицированная USB-клавиатура просто наберет
" FORMAT C: " в нужный момент...

icbook

11 лет 6 месяцев назад

Там в комментариях именно в таком несерьезном духе трёп и идет. Забавно, когда говорят "obsolete legacy ports like USB".
Лично мне понравился этот комментарий: Also, is this computer herpes?

UPD. «Палочка Нолла» :)

Baza

11 лет 6 месяцев назад

ну, возможность получить такой превед, это критично.

достаточно вспомнить где делается 99% клав, мышей и флэшек/images/koloboks/hmr.gif

Raistlin

11 лет 5 месяцев назад

Простите, а кроме брифинга, полноценная статья-то есть? И как до нее добраться?

Raistlin

11 лет 5 месяцев назад

То есть ее еще нет на сайте? Потому что по имени автора находится ссылка на тот же брифинг.

Compiller

11 лет 5 месяцев назад

А где бы это клаву такую прикупить, или какую-нибудь готовую программируемую типа Logitech со встроенным дисплеем можно использовать?

Compiller

11 лет 5 месяцев назад

Или надо что-нибудь типа http://kinesis-ergo.com/wp-content/uploads/2013/07/advantage-usb-manual.pdf такой?

savely

11 лет 3 месяца назад

Блин, явление Христа народу. :)
Если при втыкании девайса появилась клавиатура - спросим. А если твоя новая клавиатура и есть BadUSB? :)

makarog

11 лет 3 месяца назад

дык все отдается на откуп юзверю, если он свято верит, что новый девайс и есть клавиатура - проблемы как бы и нет :lol:
а что помешает BadUSB прикинуться "йа-йа-натюрлих-клава" и активизироваться плохишом впоследствии - неизвестно :lol: наверное, следующим этапом будет параноидальная проверка "верю-не верю" при каждом запуске системы?

savely

11 лет 3 месяца назад

Ну, по уму - тот же TPM сейчас есть на всех матерях, организовать взаимную аутентификацию "мать-девайс"
(при поддержке ОС и UEFI) проблем не вижу. Но это вопрос совместимости. Как SecureBoot тот же.

Хотя... Потом сопрут ключи, как обычно (в смысле - история с подписью драйверов) :)))

DesignerMix (не проверено)

11 лет 2 месяца назад

Да, BadUSB тема интересная, я даже видео об этом снимал, там я прошил флешку на контроллере Phison 2251-03 кастомной прошивкой которая по сути сделала из флешки клавиатуру и та в свою очередь могла выполнять команды от имени текущего пользователя.

Если кому интересно вот ссылка - https://www.youtube.com/watch?v=ovfZXeGvjN8

PS: Прошивку и утилиты для создания и патчинга прошивок брал здесь - https://github.com/adamcaudill/Psychson

AVX

11 лет 2 месяца назад

DesignerMix - спасибо! добавил видео в закладки. Как-нибудь попробую. Жаль, сейчас почти не занимаюсь флешками, ранее много приносили на восстановление (только в этом ключе работал) работоспособности, сейчас их стоимость слишком мала. Конечно, большие объёмы (и цены) могут вернуть интерес к восстановлению, и вновь вернусь к флешкам когда-нибудь. За то время много скопилось разных утилит и прошивок для разных контроллеров. Так что часть инструментов из видео знакома.
Остальное, в принципе, дело техники. Для "хорошего" дела можно и контроллеров накупить отдельно.
Останется только творческая работа по созданию сценариев применения клавиатурных комбинаций, да социальной инженерии (как внедрить на нужный компьютер), но это всё решаемо.

Жаль только, что виртуальная клава не может интерактивно взаимодействовать с ОС (она только отправляет команды драйверу), и не знает, что открыто в данный момент, и не знает быстродействия компа (а ведь есть такие, что на каждое нажатие клавиш ещё долго думают, и половину нажатий просто проигнорируют), и не учитывает состояние загрузки ОС. Можно ведь флешку воткнуть ещё ДО включения компа - тогда при включении вирт клава вполне сможет зайти, например, в биос, и поставить пароль на загрузку, на изменение настроек, и даже на жесткий диск! а если биос позволяет, то и ещё круче что-то...

DesignerMix (не проверено)

11 лет 2 месяца назад

AVX - Да, атака во многом зависит от окружения но ведь уязвимость только только начали воплощать на практике и над прошивкой колдует огромное сообщество которое может придумать и другие пути для ее реализации (помимо виртуальной клавиатуры и примера с несколькими разделами). Например здесь уже нашли и другие уязвимые контроллеры - https://opensource.srlabs.de/projects/badusb

makarog

11 лет 1 месяц назад

дополню по USB
http://samy.pl/usbdriveby/
http://youtu.be/FfRhKzbgmeU
https://github.com/samratashok/Kautilya
https://github.com/Cryoganix/Teensyterpreter
Бирусы атакуют!USB has become so commonplace that we rarely worry about its security implications. USB sticks undergo the occasional virus scan, but we consider USB to be otherwise perfectly safe - until now.
<!--break-->
This talk introduces a new form of malware that operates from controller chips inside USB devices. USB sticks, as an example, can be reprogrammed to spoof various other device types in order to take control of a computer, exfiltrate data, or spy on the user.

We demonstrate a full system compromise from USB and a self-replicating USB virus not detectable with current defenses.

We then dive into the USB stack and assess where protection from USB malware can and should be anchored.

BADUSB - ON ACCESSORIES THAT TURN EVIL