Noch ein China-Netzteil

Am 16 Mar 2013 19:07:24 GMT schrieb Joseph Terner :

Im Detail kenne bzw. kannte ich nur WMF, das war bis Windows98 eher harmlos.

Aua, die machen aber auch einen Sche***. Gibt wohl keine Burggräben, da wo die programmieren.

Marc

horst-d.winzler wrote on Sat, 13-03-16 17:51:

Das ist auch gut so (TM). Wo immer möglich unterbinde ich das Anzeigen von Fremdformaten im Browser und erzwinge das zugehörige Programm. Dann habe ich auch das zur Datei passende Menü und die zugehörigen Funktionen und keine sinn- und funktionslosen, verwirrenden Browserbuttons. Auf meinen Websites wird das für z.B. PDF mit passenden MIME-Types auch für anders eingerichtete Browser erzwungen.

Das ist was anderes. Dabei werden Fehler in einer Implementierung angegriffen. Diese Fehler werden behoben, sobald sie entdeckt werden. Windows (Enhanced) Meta Files sind wie PE-Dateien *per Design* gefährlich.

Und hier sind wir bei zwei populären Irrtümern angelangt. Virtualisierung ist kein Sicherheitssystem (wie Sandboxing, Privilege Separation). Im Gegenteil: Das Gastsystem läuft üblicherweise aus Geschwindigkeitsgründen im Kernel-Kontext und erhöht sogar das "Ownage"-Risiko gegenüber einem einschränkten Benutzerkontext.

Die Schutzmauer zwischen Gast- und Hostsystem existiert nur in der Vorstellung des Laien. Das Gastbetriebssystem wird auf demselben Rechner ausgeführt, wie jede andere Software auch und ist nicht eben speziell abgeschirmt. Ausnahme sind Komplettemulatoren wie Bochs, die sind deswegen allerdings sehr langsam.

Zu Virenscannern läßt sich nur kurz sagen, daß sie mit ihrem signaturbasierten Konzept in der heutigen vernetzten Realität beim angedachten Schutzziel komplett wirkungslos und überflüssig sind.

Joseph

So richtig harmlos war es noch nie.

Das WMF-Konzept selbst ist aus den 80ern. Die PCs waren zu langsam für Postscript, die möglichen Auswirkungen des Codes sehr begrenzt und Hardware weitgehend unverwundbar. Die Anzahl der bekannten Malwares war vierstellig. In der heutigen Zeit hat sowas natürlich nichts mehr verloren.

Joseph

Am 16.03.2013 20:33, schrieb Joseph Terner:

Autsch.

Was für ein totaler Quatsch. Warum soll denn deiner Meinung nach Hardwarevirtualisierung oder Paravirtualisierung grundsätzlich unsicher sein, Emulation hingegen nicht? Deiner (falschen) Argumentation nach ist auch eine Emulationsumgebung wie Bochs "unsicher".

Und wenn du Hardwarevirtualisierung für "unsicher" hälst, dann vielleicht auch Privilegienseparierung in der CPU? Ist ja schließlich alles derselbe Die! Unfassbar.

Wirf mal einen guten Blick auf Exploits, die wir heute sehen und dann zeig mir die, die z.B. aus einer Hypervisor-Überwachten Sandbox ausbrechen.

Dir ist bekannt, dass heutige Virenscanner durchaus andere Methoden als reine Signaturen anwenden, um z.B. Rootkits zu erkennen?

Gruß, Johannes

Am 16.03.2013 20:12, schrieb Marc Santhoff:

Virenscanner bei einem Userspace-Exploit wahrscheinlich eher nicht. Kommt aber drauf an, welcher und wie da gescannt wird. Der Exploit wird mit den Berechtigungen des exploiteten Prozesses ausgeführt (also üblicherweise mit Benutzerprivilegien). Und da liegt eigentlich schon das ganze interessante Zeug (private Dokumente, Bitcoin-Börse, gespeicherte Firefox-Passwörter oder was weiß ich).

Gruß, Johannes

Am 16 Mar 2013 19:40:09 GMT schrieb Joseph Terner :

Im Prinzip schon, aber das setzt voraus, daß der Interpreter dafür sauber programmiert ist und nicht bei unbekannten Codes oder ungültigen parametern aussteigt ... also eher nicht. :P

Marc

Stephan Urban schrieb:

Windoof-Umgebung fällt das garnicht auf.

Also das emf gibt bei mir bessere Bildqualität, gerade auch beim Text.

Egal, der Volltreffer im UKW ist schon beachtlich.

Es gab mal ein paar Fälle, wo aus der VM Ware ausgebrochen wurde, z.B. bei VM Ware konnte auf die Shared Folder zugegriffen werden. Wurde natürlich gestopft. Aber da das zuwenig installiert haben, konzentrieren sich die Virenschreiber nicht darauf, also sind vielleicht eine handvoll dieser Exploits, wenn überhaupt, gegenüber tausenden "normalen".

Es gibt auch bessere Virenscanner, die anhand verdächtiger Aktivitäten eingreifen.

Das Problem ist dass es nicht besonders funktioniert. Beispiel: PC eines Bekannten benahm sich merkwuerdig. Mehrere Virenprogramme fanden nichts, auch das normale MBAM nicht. Dann MBAM Anti-Rootkit Beta probiert und das fand prompt eine ueble Wurzelinfektion. Nach Resektion selbiger lief der PC wieder normal.

Der übliche Fall ist eine Erkennung der Virtualisierung und anschließende Abschaltung des Schadcodes, um die Beobachtung zu verhindern. Geht der Exploit dann als "unbedenklich" durch und wird auf "the real thing" losgelassen, wurde das Ziel erreicht.

Joseph

Am 16.03.2013 23:01, schrieb Joseph Terner:

Das kommt der Sache schon viel näher, denn eine VM zu erkennen liegt durchaus im Bereich des Möglichen. Du hattest aber ursprünglich davon gesprochen, dass eine Virtualisierungslösung die Situation sogar verschlimmert, weil nach Ausbruch aus der Sandbox quasi direkt im Ring0 läuft. Das stimmt einfach nicht. Insofern hilft bei dem von dir beschriebenen Szenario eine Virtualisierungslösung also auch zusätzlich deshalb, weil sie dazu führt, dass sich Malware inaktiviert.

Gruß, Johannes

Am 16.03.2013 22:53, schrieb Joerg:

Naja, es kommt immer ein wenig auf die Umstände an (also: was für ein Exploit? Oder einfache Ausführung eines Trojaners? Welches Betriebssystem?). Windows7 treibt beispielsweise einigen Aufwand um das einschleusen von Code in den Ring0 zu unterbinden, indem sie quasi ständig ihr Codesegment hashen und schauen, ob das mit den Erwartungen übereinstimmt.

Grundsätzlich halte ich Virenscanner aber auch für herausgeworfenes Geld bzw. verplemperte Ressourcen.

Gruß, Johannes

Diese Aussage gilt natürlich im Besonderen für Binary Translation.

Das hat mit der gegensätzlichen Zielsetzung zu tun: Virtualisierung dient dazu Code lauffähig machen, der in der Hostumgebung nicht funktioniert, während ein Sicherheitswerkzeug möglichst die Ausführung (schädlichen) Codes verhindern soll.

Die gängige Virtualisierungssoftware ist weder gehärtet, noch speziell darauf ausgelegt, mit Schadcode umzugehen. Sie ist für diesen Zweck nie entwickelt worden, da es kein funktionierendes Geschäftsmodell dafür gibt.

Hardwarevirtualisierung findet nicht im luftleeren Raum statt. Innerhalb der virtuellen Maschine läuft selbstverständlich die Virtualisierungsoftware, sonst würde darin außer der CPU keinerlei virtuelle "Hardware" existieren. Darüber läuft dann letztlich auch der Durchgriff auf das Hostsystem - damit bspw. die Festplattenzugriffe in der Imagedatei landen können, die IP-Pakete die VM verlassen können usw.

Dabei wird natürlich die potentiell anfällige Emulationssoftware selbst abgeschirmt, was besser gelingt, weil sie eben nicht auf erhöhte Privilegien angewiesen ist. Die Schranke ist also nicht der Emulator selbst, sondern die gehärtete Umgebung, in der dieser ausgeführt wird.

Joseph

IIRC war es ein TDSS root kit.

Ich nicht. Die sind z.B. ziemlich praktisch wenn man irgendwoher ein Datenpaket bekommt. Selbst wenn es von einer vertrauenswuerdigen Quelle ist kann es verseucht sein ohne dass die das wissen. BT, Schutz hat angesprochen ... "No, Sir, that's not possible" ... kurz darauf ... "Oh s..t!"

Stephan Urban wrote: [über EMF]

Gruß, Michael Karcher

Joseph Terner:

Hauptsächlich dient Virtualisierung zur Einführung einer Abstraktionsschicht, die Hardwareunabhängigkeit und Konsolidierung zulässt.

Die bisherigen Angriffe z.B. auf VMWare, waren entweder auf lokales Management im Hypervisor (ihgitt), spezielle virtuelle Hardware (z.B. VMCI) oder das Recht aus der VM heraus andere Virtuelle Hardware zu mounten angewiesen. Letzteres kommt nur bei Hot-Add-Backups vor, die ab einer gewissen Größe keinen Sinn machen.

Auch die angeblichen Immunity-Cloudbursts aus 2012 waren auf worst- practices angewiesen, die nur durch Update von einer 3er VSphere ohne Anfassen der Host-Konfiguration entstehen konnten, da diese Konfigurationen in einer neueren Vsphere nicht speicherbar waren. Außerhalb der Immunity-Labors war der Burst auch nicht nachstellbar.

Es gibt seit ESX4 die Möglichkeit, die Hypervisor-Executables zu härten, den Code z.B. durch Boot von Readonly-Medium oder PXE und permanenten Hash-Vergleich zu schützen und die Speicherbereiche jeder VM hart zu isolieren. Das bedeutet dann halt redundante Prozesse für jedes Stück virtuelle Hardware.

Nein. Das ist weder bei Xen, Hyper-V noch bei vmware notwendig. Der VM- Prozess läuft "außen".

Der VM kann auch ohne Kanal zum Host Hardware vorgegaukelt werden. Gerade Branch- und Sysprep-Test-Systeme werden ohne Anpassung des Images vorgenommen, da die Tests ja eine Hardware-agnostische Anordnung verlangen.

Nein. Bei Xen und VMware waren die erfolgversprechenden Angriffe auf den Absturz des äußeren VM-Prozesses durch einen Gerätetreiber oder einen Angriff auf RPC-Handler angelegt. Über die Angriffe auf Hyper-V kann ich keine Aussage treffen.

Cloudbursts sind nicht unmöglich, aber dazu musste der Angreifer bislang immer erst die volle Kontrolle über die VM haben und der Host "not recommended" oder gar "unsupported" Settings aufweisen.

Falk D.