0
(Billede: file foto)
Microsoft hævder, at “ingen kendte ransomware” kører på Windows, 10 S, sin nyeste -, sikkerheds-fokuseret operativsystem.
Den software gigant meddelte den version af Windows, der tidligere i år som flagskib elev-fokuserede operativsystem til skibet med sin nyeste Overflade Laptop. Microsoft udråbt det operativsystem, som er mindre modtagelige for ransomware på grund af sin låst ned konfiguration-til det punkt, hvor du ikke kan køre alle apps uden den beskyttende indhegnet have i sin app store. For at få en app godkendt, det er at gå igennem strenge test for at sikre sin integritet. Det er en af flere afhjælpninger, der hjælper med at beskytte styresystemet til at kende fil-kryptering af malware.
Vi ønskede at se, hvis sådan en dristig påstand kunne holde op.
Spoiler alert: det gjorde den ikke.
I sidste uge på sin debut dag, vi fik vores hænder på en helt ny Overflade Bærbar computer, den første enhed af sin art til at køre Windows-10 S. Vi startet det op , gik gennem konfigurationsprocessen oprettet en offline-konto, og installeret en masse udestående sikkerhedsrettelser — ligesom alle andre almindelige bruger vil (forhåbentlig) at gøre.
Og det er, når vi spurgte Matthew Hickey, en sikkerheds-forsker og medstifter af cybersecurity firma Hacker Hus, et simpelt spørgsmål: Vil ransomware installere på dette operativsystem?
Det tog ham lidt mere end tre timer at buste operativsystem forskellige lag af sikkerhed, men han fik der.
“Jeg er ærligt overrasket over, at det var så let,” sagde han i et opkald, når hans angreb. “Når jeg kiggede på branding og markedsføring til det nye operativsystem, jeg troede, de havde yderligere forstærket det. Jeg ville have ønsket flere restriktioner på at prøve at køre med priviligerede processer i stedet for at det er sådan en kort proces.”
Men Windows 10 S præsenterer et par forhindringer. Det er ikke kun begrænset til butikken-kun apps, men det gør det ikke giver brugeren mulighed for at køre noget, der ikke er nødvendige. Det betyder, at der ikke er nogen kommando-prompt, ingen adgang til scripting værktøjer, og ingen adgang til PowerShell, et kraftfuldt værktøj, ofte brugt (og misbrugt) af hackere. Hvis en bruger forsøger at åbne en forbudt app, Windows straks fortæller brugeren, at det er off-grænser. Bottom line: hvis det ikke er i app store, vil det ikke køre.
Revner Windows 10 S blev en hårdere opgave, end vi havde forventet.
Men et fælles angreb punkt eksisterer. Hickey var i stand til at udnytte, hvordan Microsoft Word, der er tilgængelig til download fra Windows app store, håndtag og processer makroer. Disse typisk lille script-baserede programmer, der er designet til at automatisere opgaver, men er også almindeligt anvendt af malware-forfattere.
Her er, hvordan han gjorde det.
Forfatter oprettet en ondsindet, makro-baseret Word-dokument på sin egen computer, når de åbnes, ville tillade ham at udføre en reflekterende DLL-injection angreb, giver ham mulighed for at omgå app store begrænsninger ved at indsprøjte kode ind i en eksisterende, autoriseret proces. I dette tilfælde, at Ordet blev åbnet med administrative rettigheder gennem Windows Task Manager, en enkel proces givet offline bruger konto som standard har administrative rettigheder. (Hickey sagde, at processen også kunne automatiseres med en større, mere detaljeret makro, hvis han havde haft mere tid.)
Men i betragtning af de farer, der er forbundet med makroer i Word ‘ s “beskyttet visning” blokke makroer, der kører, når en fil er hentet fra internettet eller modtaget som en vedhæftet fil. For at komme omkring denne begrænsning, Hickey downloades den skadelige Word-dokument, byggede han fra et netværksshare, som Windows finder en placering, du har tillid til, at give ham tilladelse til at køre makroen, så længe han gjorde det fra en advarsel bar i toppen af skærmen. Dokumentet kan let pege på en pil for at den bar, som fortæller brugeren at deaktivere beskyttet tilstand for at se indholdet af dokumentet-en fælles social engineering-teknik, der anvendes i makro-baseret ransomware. (Hvis han havde fysisk adgang til computeren, kan han også køre den fil fra en USB-stick, men ville være nødt til manuelt at fjerne blokeringen af filen fra filens egenskaber menu — så nemt som at klikke et afkrydsningsfelt.)
Mange makro-aktiveret ondsindede Word-dokumenter bede brugeren om at aktivere indhold, som det ses her. (Billede: ZDNet)
Når makroer er aktiveret, den kode, der kører — og giver ham adgang til en shell med administratorrettigheder.
Herfra blev han i stand til at hente en last ved hjælp af Metasploit, en fælles penetration test software, som forbinder operativsystem til sin egen cloud-baseret kommando og kontrol-server, der effektivt sætter ham i stand til at fjernstyre computeren. Fra der, var han i stand til at få den højeste grad af adgang, “system” privilegier, ved at få adgang til et “system”-plan, proces og ved hjælp af den samme DLL injektion metode.
Ved at få “systemet” privilegier, han havde uhindret, remote adgang til hele computeren.
“Herfra kan vi begynde at dreje tingene på og off — antimalware, firewall og tilsidesætte følsomme Windows-filer,” sagde han. Med et par skridt, computeren ville have været helt sårbar og ude af stand til at forsvare sig mod enhver malware.
“Hvis jeg ønskede at installere ransomware, der kan blive fyldt på”, sagde han. “Det er game over.”
For at bevise sit niveau af adgang, sendte han mig et screenshot med alm password for Wi-Fi-netværk, som computeren var forbundet til noget, der kun er tilgængelige for “systemet”-niveau processer.
“Vi overvejede at forlade den bærbare computer at spille AC/DC Thunderstruck’ på løkke for dig, men vi ønskede ikke at forstyrre dine naboer eller nogen kæledyr!” han spøgte.
“Vi kan selv tage noget som Locky, en DLL-baseret ransomware, og køre det så, at det ville kryptere alle filer i dine dokumenter og bede om en nøgle ved at sætte tapet,” sagde han.
Selvom han var givet tilladelse, Hickey stoppede kort for at installere den ransomware, med henvisning til den mulige risiko for, at andre enheder på netværket. “Vi har vist nok,” sagde han. “Vi kan gøre hvad vi ville,” sagde han.
“SYSTEMET” er det højeste niveau af rettigheder. Det er game over herfra. (Screenshot: Matthew Hickey)
Fra affyret shell, som tog ham, “et spørgsmål om minutter,” han var i stand til at få fuld system-bred adgang til operativsystemet i et par timer. “Det er fordi vi vidste allerede af disse former for angreb, og disse typer af teknikker, og vi ved, at det har virket for os i fortiden,” sagde han.
Hickey har ikke nogen tidligere ikke-frigivne eller såkaldte zero-day-sårbarheder til at gennemføre angrebet, men han sagde, at dette angreb kæde kan udføres på flere andre måder.
Selv om en Forfatter, der anvendes offentligt kendte teknikker, der er en udbredt forståelse af sikkerhedseksperter, vi ikke desto mindre privat informeret Microsofts security team af angreb processen forud for offentliggørelse.
For sin del, Microsoft afvist påstandene.
“I begyndelsen af juni skrev vi, at Windows 10 S ikke var sårbar over for alle kendte ransomware, og baseret på den information, vi modtog fra ZDNet, at sætningen gælder,” sagde en talsmand. “Vi anerkender, at nye angreb og malware dukke op hele tiden, hvilket er grunden til, at vi er forpligtet til at følge trusselsbilledet og arbejder med de ansvarlige forskere for at sikre, at Windows-10 fortsætter med at give den mest sikre mulige oplevelse for vores kunder.”
Dette hack måske ikke har været den smukkeste og lettest at starte. Man kunne argumentere for, at hacke tog for mange skridt, der ville ikke blive gentaget i den virkelige verden, og at denne sag ville stole på enten social engineering eller fysisk adgang til en enhed, snarere end en weaponized fil for at starte på en dobbelt-klik. At sagde, at hackere er ikke kendt for at give op efter lidt over tre timer sondering sårbarheder.
I den sidste ende, Microsoft sagde, at “ingen kendt ransomware” virker på operativsystemet, men ved at få “systemet”-adgang i niveau, vi viste, at det er helt muligt at tage kontrol over maskinen for at installere ransomware.
Hvis der er en lektie, der skal læres (og gentages igen og igen), det er, at intet er unhackable.
Kontakt mig sikkert
Zack Whittaker kan nås sikkert på Signal og WhatsApp på 646-755-8849, og hans PGP fingeraftryk til e-mail er: 4D0E 92F2 E36A EC51 DAAE 5D97 CB8C 15FA EB6C EEA5.
ZDNET UNDERSØGELSER
Den AMERIKANSKE regering skubbet tech firmaer, til at udlevere kildekoden
Ved den AMERIKANSKE grænse, forventer diskrimination, fængsling, ransagning, og forhør
Lækket: TSA dokumenter afslører New York airport ‘ s bølge af sikkerhed bortfalder
Mød den dunkle tech mæglere at levere dine data til NSA
Trump hjælpere’ brug af krypterede beskeder kan være i strid records lov
En usikrede database blade off-the-grid energi udsat kunder
Inde i den globale terror-overvågningsliste, der hemmeligt skygger millioner
Sikkerhedshuller i Pentagon-servere “sandsynligt”, de er under angreb af hackere
Afsløret: Sådan en Amazon Kindle fidus gjort millioner af dollars
Den AMERIKANSKE regering underleverandør lækager af fortrolige militære personel data
0