11 January 2008
Nuova puntata della rubrica Anti-FUD: chiariamo le idee sul nuovo Master Boot Sector Rootkit
Sintesi: è bene che sappiate dell'esistenza di un nuovo malware in circolazione che recupera una modalità antica di infezione, la scrittura del Master Boot Record (MBR). La pericolosità di questo malware NON è però nuova ed è abbastanza bassa, poiché non vengono sfruttate nuove vulnerabilità (quindi un computer completamente aggiornato è al sicuro da questo punto di vista) e l'efficacia dell'infezione richiede che l'utente abbia i privilegi amministrativi (e lanci volontariamente qualche eseguibile di dubbia provenienza). Nel seguito del post vengono anche smontati i tentativi di far credere che questo malware sfrutti delle debolezze di Windows, e di Windows Vista in particolare.
Mi mancava il fatto di non riuscire a scrivere un'altra puntata della rubrica Anti-FUD, la mia collezione di post in cui mi prendo la briga di smontare qualche errata percezione che vedo circolare nella blogosfera a causa della perdita di informazione che si ottiene dall'effetto che io chiamo FUD-Tam-Tam: se chi pubblica una notizia commette degli errori, volontari o involontari, e chi la riprende non la verifica, si genera disinformazione a catena... (a proposito di FUD: vorrei dar ragione all'amico Misi e usare la versione italiana PID, Paura-Incertezza-Dubbio, ma questo acronimo si confonde troppo con altri termini legati alla sicurezza).
Tema di questa puntata è la segnalazione della presenza di un malware che infetta il Master Boot Record (MBR) come riportato da due dei blog inclusi nella mia lista di recensioni (da PC al sicuro e quello di Simply Security). Stiamo parlando di "VirTool:WinNT/Sinowal.A", detto anche "Trojan.Mebroot"e in un'altra mezza dozzina di modi (... chissà quando riusciremo a concordare un modo unico di classificare e denominare il malware... :-(...).
In qualità di Security Advisor di Microsoft, quando leggo di un nuovo malware e devo valutare la sua pericolosità le prime domande che mi pongo sono:
- Qual'è il vettore/modalità di attacco?
- Quali vulnerabilità vengono sfruttate?
- Quali privilegi deve avere l'utente affinché l'attacco vada a segno?
Sfortunatamente parte di queste informazioni stanno cominciando a latitare nei report di molti fornitori Antivirus, con l'effetto di disorientare e disinformare il lettore, anche quello più tecnico. Se poi il fornitore di Antivirus commette degli ERRORI (spero involontari, e non per generare FUD su Windows e su Windows Vista) che aiuto si sta fornendo a chi si deve difendere? Mi sto riferendo al post di Symantec sull'argomento in oggetto, che a un certo punto dice:
"The main problem is that some versions of Microsoft Windows allow programs to overwrite disk sectors directly (including the MBR) from user mode, without restrictions. As such, writing a new MBR into Sector 0 as a standard user is a relatively easy task. This issue has been known for quite some time, and still affects the 2K/XP families, while Vista was partially secured in 2006 (after Release Candidate 2) after a successful attack demonstration made by Joanna Rutkowska. The attack is called the “Pagefile Attack”."
Ora ditemi: che percezione vi rimane dopo la lettura di questo paragrafo? L'idea errata che l'utente si fa è che il malware in oggetto può fare quello che fa perché Windows è debole e permette all'utente normale di scrivere direttamente nel Sector 0, che è un problema che c'è da Windows 2000 e che neanche in Windows Vista sia stato risolto del tutto. Tutto sbagliato! C'è una seria omissione che rende quanto detto da Symantec non corretto: non si dice che i privilegi necessari per fare quella operazione di scrittura diretta su disco sono privilegi amministrativi!! Il mio amico Windows-core-super-guru (Luca Sanson) mi ha aiutato a fare le verifiche del caso e mi fatto notare che perfino le slide sul "pagefile attack" della Rutkowska, che vengono segnalate da Symantec nel paragrafo citato, mostrano nella slide 6
Vista allows usermode app to get raw access to disk (provided they run with admin privileges of course)
- CreateFile(\\.\C:)
- CreateFile(\\.\PHYSICALDRIVE0))
E se andate su MSDN a cercare la funzione CreateFile trovate al paragrafo "Physical Disks and Volumes" la frase "The caller must have administrative privileges" e questo fin da Windows 3.1 !!!
Tornando al nostro nuovo malware e alle domande per verificare la sua pericolosità, le risposte sono:
- L'utente deve essere amministratore per fare in modo che l'attacco possa essere portato a segno e si riesca a sovrascrivere l'MBR con uno infetto.
- Windows Vista ha anche il vantaggio di protezione che lo User Account Control vi avvisa del tentativo del malware di richiedere privilegi più elevati (approfitto per ribadire che chi disabilita lo UAC fa un grave errore)
- Non viene sfruttata nessuna nuova vulnerabilità di Windows
- Per gli attacchi drive-by operati dai siti infetti (ossia senza interazione dell'utente), il fatto di avere un sistema completamente aggiornato difende in modo completo.
- La modalità di attacco per questa variante è rappresentata solo dalla navigazione su siti infetti (vedi punto 2). Se dovessero uscire altre varianti che usano dei file eseguibili, sarebbe comunque necessaria l'azione volontaria dell'utente di lanciarli, e la necessità dei privilegi amministrativi (punto 1) permetterebbe agli utenti normali di non essere a rischio.
Detto questo mi sento di concludere con la frase "niente di nuovo sotto il sole", solo un modo vintage di recuperare una vecchia modalità di infezione dei bei tempi del DOS: niente debolezza di Windows e chi ha Windows Vista è più al sicuro degli altri.
P.S. Chi rimanesse sfortunatamente vittima di questo malware faccia caso al fatto che la scheda del Malware Protection Center ha anche una sezione Recovery con le istruzioni per ripristinare un MBR pulito.
Comment Notification
If you would like to receive an email when updates are made to this post, please register here
Subscribe to this post's comments using
Comment Policy: No HTML allowed. URIs and line breaks are converted automatically. Your e–mail address will not show up on any public page.
