निष्पादन योग्य फ़ाइलों में डिजिटल हस्ताक्षर और मैलवेयर में इस सुरक्षा को दरकिनार करना

हबरा हाय!



ठीक है, ऐसा लगता है कि वे कर्म के साथ समस्याओं को हल करने में कामयाब रहे, लेकिन वे किसी भी तरह से वर्तमान विषय को नहीं छूते हैं, वे केवल इसकी उपस्थिति में एक निश्चित देरी की व्याख्या करते हैं (प्रारंभिक योजनाएं पिछले साल नवंबर के लिए थीं)।



आज मैं आपके ध्यान में निष्पादन योग्य फाइलों के इलेक्ट्रॉनिक हस्ताक्षरों की प्रणाली और इस प्रणाली को बायपास करने के तरीके पर ध्यान देता हूं। बहुत प्रभावी वर्कअराउंड में से एक की भी विस्तार से जांच की जाएगी। इस तथ्य के बावजूद कि वर्णित infe पहले से ही कई महीनों पुराना है, हर कोई इसके बारे में नहीं जानता है। नीचे वर्णित उत्पादों के निर्माताओं को वर्णित सामग्री के बारे में सूचित किया गया है, इसलिए इस समस्या का समाधान, यदि वे इसे बिल्कुल मानते हैं, तो यह उनकी जिम्मेदारी है। क्योंकि समय बहुत था।



सिद्धांत



निष्पादन योग्य फ़ाइलों के लिए इलेक्ट्रॉनिक हस्ताक्षर का विचार और तकनीक विंडोज एनटी के युग में उत्पन्न हुई। विंडोज विस्टा के आगमन के बाद से, माइक्रोसॉफ्ट ने इस तकनीक को बढ़ावा देने के लिए एक सक्रिय कंपनी शुरू की है। निर्माता के विचार के अनुसार, एक हस्ताक्षरित कोड केवल इस कोड के एक विश्वसनीय लेखक से आ सकता है, और इसलिए यह गारंटी दी जाती है कि सिस्टम को नुकसान न पहुंचाए और त्रुटियों ( तीन haha ) से सुरक्षित है।



हालांकि, चूंकि हस्ताक्षर तंत्र सबसे अधिक बार जटिल क्रिप्टोग्राफिक तंत्र का उपयोग करता है, इसलिए हस्ताक्षरित कोड में सामान्य विश्वास फैल गया है। एंटीवायरस विक्रेता इससे दूर नहीं हुए। यह सच है: यदि कोड पर हस्ताक्षर किए गए हैं, तो यह स्पष्ट रूप से वायरस नहीं हो सकता है, और इसलिए इसे एक प्राथमिकता पर भरोसा किया जा सकता है, जिससे झूठी सकारात्मकता की संभावना कम हो सकती है। इसलिए, अधिकांश आधुनिक एंटी-वायरस उत्पादों में, डिफ़ॉल्ट रूप से हस्ताक्षरित फ़ाइलों की जांच का एक बाईपास होता है, जिससे स्कैनिंग गति बढ़ जाती है और झूठी सकारात्मक की संभावना कम हो जाती है। इसके अलावा, अक्सर हस्ताक्षर किए गए प्रोग्राम स्वचालित रूप से उर्फ ​​कूल्हों के "विश्वसनीय" व्यवहार विश्लेषणकर्ताओं की श्रेणी में दर्ज किए जाते हैं।



यह स्पष्ट हो जाता है कि एक वैध हस्ताक्षर के साथ उनकी कृतियों पर हस्ताक्षर करने से, वायरस निर्माता को ग्राहकों के बजाय समृद्ध दर्शक मिलते हैं जो यहां तक ​​कि एक सक्रिय और नियमित रूप से अपडेट किए गए एंटीवायरस से संक्रमित हो जाएंगे। जाहिर है, यह एक बहुत ही स्वादिष्ट निवाला है, जो पहले से ही प्रसिद्ध स्टक्सनेट वायरस के उदाहरण में आसानी से देखा जाता है, जहां कोड को वैध रियलटेक प्रमाण पत्र के साथ हस्ताक्षरित किया गया था (जेमिक्रॉन हस्ताक्षर भी बाद में रिपोर्ट किए गए थे)।



लेकिन इस दृष्टिकोण का एक फ्लिप पक्ष है: एक समझौता किए गए हस्ताक्षर की पहचान करने के बाद, यह तुरंत प्रतिक्रिया देता है, और हस्ताक्षर के बहुत तथ्य से, एवी विक्रेताओं ने एक हस्ताक्षर का पता लगाया, यह स्पष्ट है कि 100% प्रतिक्रिया के साथ। यह देखते हुए कि चुराए गए प्रमाणपत्र को हासिल करना बेहद महंगा है, जो हस्ताक्षर करने के लिए आवश्यक है, यह स्पष्ट है कि वायरस निर्माता हस्ताक्षर सत्यापन तंत्र के पूर्ण बायपास में, वैध निजी कुंजी के बिना या स्वतंत्र रूप से इस तरह की चाबियाँ पैदा करके रुचि रखते हैं। यह आपको न केवल एंटी-वायरस उत्पादों के संरक्षण को बायपास करने की अनुमति देगा, बल्कि ड्राइवरों और ActiveX- घटकों को चेतावनी के बिना भी स्थापित करेगा, और आम तौर पर किसी तरह x64 की दुनिया में टूट जाएगा, जहां आप बिना हस्ताक्षर के कुछ भी स्थापित नहीं कर सकते।



लेकिन व्यवहार में उस पर अधिक।



अभ्यास



महान से किसी ने कहा कि दुश्मन से आगे निकलने के लिए, उसके जैसा सोचना शुरू करना चाहिए। तो, अगर हम वायरस बनाने वाले हैं, तो हम क्या कर सकते हैं?



1. कुछ साफ फ़ाइल से प्रमाण पत्र की जानकारी की प्रतिलिपि बनाएँ।



यह इस समय सबसे लोकप्रिय तरीका है। विश्वसनीय प्रकाशकों की श्रृंखला के ठीक नीचे, हस्ताक्षर जानकारी को सबसे छोटे विवरण में कॉपी किया जाता है। यह स्पष्ट है कि ऐसी प्रति केवल उपयोगकर्ता की दृष्टि में मान्य है। हालाँकि, जो ओएस प्रदर्शित करता है वह अनुभवहीन को भ्रमित कर सकता है और एक और गड़बड़ के रूप में माना जा सकता है - यदि सभी प्रकाशक सही हैं, तो यह हस्ताक्षर अमान्य क्यों है? काश और आह - ऐसे बहुमत।



2. फर्जी नाम के साथ स्व-हस्ताक्षरित प्रमाण पत्र का उपयोग करें।



ऊपर वर्णित विकल्प के समान, सिवाय इसके कि प्रमाणन पथ में श्रृंखला की प्रतिलिपि भी नहीं है।



3. नकली MD5।



इस तथ्य के बावजूद कि एमडी 5 एल्गोरिदम की कमजोरी लंबे समय से ( यहां और यहां ) वर्णित की गई है, यह अभी भी अक्सर इलेक्ट्रॉनिक हस्ताक्षर में उपयोग किया जाता है। हालांकि, एमडी 5 हैकिंग चिंता का वास्तविक जीवन का उदाहरण या तो बहुत छोटी फाइलें हैं, या कोड में खराबी है। व्यवहार में, एमडी 5 एल्गोरिथ्म पर नकली फटा हस्ताक्षर वाले वायरस नहीं पाए जाते हैं, लेकिन फिर भी, यह विधि सैद्धांतिक रूप से संभव है।

4. सामान्य प्रक्रिया के अनुसार एक प्रमाण पत्र प्राप्त करें और दुर्भावनापूर्ण उद्देश्यों के लिए इसका उपयोग करें।



तथाकथित जोखिम वाले, एडवेयर और नकली एंटीवायरस के लेखकों के सबसे आम तरीकों में से एक है। एक उदाहरण नकली परफेक्ट डिफेंडर (मानक घोटाला है: "मुफ्त में स्कैन करें - आपके पास वायरस है - हमें भुगतान करें और हम इसे हटा देंगे") कई कार्यालयों के हस्ताक्षर के साथ मौजूद हैं:

• जीनसोवी llc

• परफेक्ट सॉफ्टवेयर llc

• सोविंस्की llc

• ट्रामैंबॉन llc



यह कैसे किया जाता है यह हमारे घरेलू विजेता डेवलपर द्वारा अच्छी तरह से वर्णित किया जा सकता है, जो "मजाक कार्यक्रम" आदि के बारे में छोटे अक्षरों में लिखते हैं, इस प्रकार धोखाधड़ी के बारे में एक लेख से संरक्षित किया जा रहा है। और इसलिए हम जीते हैं ...



दिलचस्प है, मालिकों के निम्नलिखित नामों के साथ बिल्कुल सामान्य कार्यक्रम हैं:

• सत्यापित सॉफ्टवेयर

• वास्तविक सॉफ्टवेयर अपडेट लिमिटेड

• ब्राउज़र प्लगइन



यह स्पष्ट है कि यदि आप वास्तव में ऐसा मानते हैं, तो प्रमाणपत्र पर पहली नज़र में गलती करना मुश्किल नहीं है।



यह भी ध्यान दिया जाना चाहिए कि प्रमाणन केंद्रों से हस्ताक्षर प्राप्त करना किसी भी तरह से मुश्किल नहीं है। उदाहरण के लिए, रैपिडएसएसएल सत्यापन के लिए सिर्फ ई-मेल का उपयोग करता है। यदि पत्राचार व्यवस्थापक, व्यवस्थापक, होस्टमास्टर, जानकारी, जैसे, पते, गलत, पोस्टमास्टर, रूट, ssladmin,

ssladministrator, sslwebmaster, sysadmin या webmaster@somedomain.com - जाहिर है कि डोमेन मालिक लिख रहा है, है ना? ( तीन और हाहा )। लेकिन शानदार कंपनी डिजिटल रिवर (DR), जो आउटसोर्सिंग और ई-कॉमर्स प्रदान करती है, आम तौर पर अपने सभी ग्राहकों को प्रमाण पत्र प्रदान करती है। यह कोई आश्चर्य नहीं है कि MSNSpyMonitor, WinFixer, QuickKeyLogger, ErrorSafe, ESurveiller, SpyBuddy, TotalSpy, Spynomore, Spypal और आमतौर पर सभी हस्ताक्षरित DR फ़ाइलों में से लगभग 0.6% कबाड़ हैं और सभी हस्ताक्षरित DR फ़ाइलों के 5% से अधिक संभावित रूप से अवांछित हैं। ।



निष्पक्षता में, मैं ध्यान देता हूं कि x64 ड्राइवर पर हस्ताक्षर करना आसान है, जिस स्थिति में अब तक कोई उल्लंघन नहीं देखा गया है।



5. किसी विश्वसनीय कंपनी के कर्मचारी को ढूंढें और उसे अपने कोड पर हस्ताक्षर करने के लिए कहें।



कोई टिप्पणी नहीं। सभी को पैसे से प्यार है। एकमात्र प्रश्न योग है :)



6. एक प्रमाण पत्र चोरी।



वर्तमान में, ट्रोजन के तीन बड़े परिवार हैं जो "चोरी", विशेष रूप से, प्रमाण पत्र चोरी के लिए हैं। यह है:

• अधिवृक्क

• उर्सनिफ़

• ज़ीउस

• SpyEye (संभव)



फिर भी, इन ट्रोजन के नए संस्करणों में चोरी के प्रमाण पत्र का उपयोग करने के कोई बड़े मामले अब तक नहीं देखे गए हैं। शायद यह आस्तीन में एक तुरुप का इक्का है? समय बताएगा ...



7. एक विश्वसनीय डेवलपर विकास प्रणाली को संक्रमित करें और हस्ताक्षर करने से पहले रिलीज में दुर्भावनापूर्ण कोड को इंजेक्ट करें।



इस तरह के संक्रमण का एक प्रमुख उदाहरण Induc.a वायरस अवधारणा है। वायरस विकास प्रणाली को संक्रमित करते हुए, संकलन चरण में कोड को इंजेक्ट करता है। नतीजतन, डेवलपर को यह भी पता नहीं है कि उसके कार्यक्रम में एक अदृश्य "उपांग" दिखाई दिया है। रिलीज हस्ताक्षर पारित करता है और एक पूर्ण प्रमाण पत्र के साथ आता है। गोफर को देखें? लेकिन वह है! ;)



सौभाग्य से, Induc.a केवल PoC है, बिना किसी अतिरिक्त दुर्भावनापूर्ण कार्यक्षमता को लागू किए केवल विकास प्रणालियों के संक्रमण का प्रदर्शन कर रहा है।



खैर, अब - वादा किया मिठाई।



बहुतायत या मैं यह कैसे करना चाहता था



जैसा कि आप देख सकते हैं, हस्ताक्षर को दरकिनार करने के लिए कई विकल्प हैं। हमारे उदाहरण में, हम ऊपर वर्णित संशोधित संस्करण 1 और 2 पर विचार करेंगे।



तो हमें क्या चाहिए?

- MakeCert.exe

- cert2spc.exe

- sign.exe

- ruki.sys

- mozg.dll



मुझे लगता है कि इन घटकों को खोजने के लिए निवास स्थान के लिए मुश्किल नहीं होगा, लेकिन सबसे आलसी के लिए मैं यहां पहले तीन पोस्ट कर रहा हूं। मैं हार्डवेयर के लिए तंग बंधन, क्रॉस-प्लेटफ़ॉर्म और कोड विशिष्टता की पूर्ण अनुपस्थिति के मद्देनजर अंतिम दो पोस्ट नहीं करता हूं :)



तो, किसी प्रकार के विश्वसनीय प्रकाशक प्रमाणपत्र बनाएं। आइए अधिक से अधिक उसी वेरिसाइन के बारे में जानकारी कॉपी करने का प्रयास करें:

MakeCert.exe -# 7300940696719857889 -$ commercial -n CN="VeriSign Class 3 Code Signing 2009-2 CA" -a sha1 -sky signature -l "https://www.verisign.com/rpa" -cy authority -m 12 -h 2 -len 1024 -eku 1.3.6.1.5.5.7.3.2,1.3.6.1.5.5.7.3.3 -r -sv veri.pvk veri.cer







निष्पादन के परिणामस्वरूप, हमें साइन करने के लिए उपयुक्त veri.pvk और veri.cer मिलते हैं।



अब प्राप्त किए गए का उपयोग करके एक बाल प्रमाणपत्र बनाएं:



MakeCert.exe -# 8928659211875058207 -$ commercial -n CN="Home Sweet Home" -a sha1 -sky signature -l "http://habrahabr.ru/" -ic veri.cer -iv veri.pvk -cy end -m 12 -h 2 -len 1024 -eku 1.3.6.1.5.5.7.3.3 -sv kl.pvk kl.cer







नतीजतन, हम kl.pvk और kl.cer प्राप्त करते हैं, जो एक अविश्वसनीय प्रकाशक से विश्वसनीय प्रमाण पत्र होंगे। एक भोले उपयोगकर्ता को बेवकूफ बनाकर श्रृंखला को लंबे समय तक जारी रखा जा सकता है। लेकिन परिणाम एक होगा: प्रमाण पत्र मान्य नहीं होगा, क्योंकि श्रृंखला में एक अविश्वास तत्व है। लेकिन!



विंडोज में, आप एक विश्वसनीय हस्ताक्षर के रूप में, स्व-हस्ताक्षरित प्रमाण पत्र सहित किसी भी प्रमाण पत्र को स्थापित कर सकते हैं। यह सुविधाजनक है: कुछ मामलों में, डेवलपर खुद को एक स्व-हस्ताक्षरित प्रमाण पत्र बना सकता है, इसे विश्वसनीय लोगों में दर्ज कर सकता है और अपने अनुप्रयोगों के साथ शांति से काम कर सकता है। हमारे मामले में, यह दोगुना सुविधाजनक है, क्योंकि इस तरह की प्रविष्टि स्पष्ट रूप से रजिस्ट्री में जानकारी का एक सरल प्रवेश है। जिससे सूचना किसी विशेष प्रणाली के लिए विशिष्ट नहीं है।



हम अपने परीक्षण वर्चुअल मशीन पर किसी भी रजिस्ट्री मॉनिटर को स्थापित करते हैं, जिसके बाद हम अपने आवश्यक प्रमाण पत्र को कथित रूप से वेरिसाइन से विश्वसनीय पर जोड़ते हैं। आइए नज़र रखें कि परिवर्तन कहाँ हुआ - और वोइला! हम संबंधित रजिस्ट्री शाखा को डंप कर सकते हैं, और फिर इसे इंस्टॉलर में डाल सकते हैं। कुल मिलाकर, हमारा इंस्टॉलर रजिस्ट्री सूचना में प्रवेश करता है, स्वचालित रूप से प्राथमिक प्रकाशक प्रमाणपत्र को एक विश्वसनीय में बदल देता है और पूरी श्रृंखला को मान्य करता है।



पूरी तरह से सभी कार्ड नहीं खोलने के लिए, मैं केवल यह कह सकता हूं कि मेरे मामले में रजिस्ट्री डंप जैसा दिखता था

Windows Registry Editor Version 5.00



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\A61F9F1A51BBCA24218F9D14611AFBA61B86C14C]

"Blob"=hex:04,00,00,.....







अच्छी तरह से, या केवल वर्तमान उपयोगकर्ता के लिए, तो

Windows Registry Editor Version 5.00



[HKEY_CURRENT_USER\Software\Microsoft\SystemCertificates\Root\Certificates\A61F9F1A51BBCA24218F9D14611AFBA61B86C14C]

"Blob"=hex:04,00,00,.....







इस डेटा को रजिस्ट्री में दर्ज करने के बाद, नकली हस्ताक्षर श्रृंखला के साथ एक प्रोग्राम स्वचालित रूप से sigverif.exe द्वारा चेक किया गया था। खैर, प्राप्त प्रमाण पत्र की सहायता से हमारे कोड पर हस्ताक्षर करना आम तौर पर सरल है, बस एक बैच फ़ाइल:



cert2spc.exe kl.cer kl.spc

sign.exe -spc kl.spc -v kl.pvk -n "My Installer" -i "http://habrahabr.ru" -ky signature -$ commercial -a sha1 -t "http://timestamp.verisign.com/scripts/timstamp.dll" myprogram.exe

del kl.spc







टाइमस्टैम्प timestamp.verisign.com/scripts/timstamp.dll के उपयोग पर ध्यान दें - सैद्धांतिक रूप से अपने स्वयं के डोमेन पर अपने स्वयं के सर्वर का उपयोग करना काफी संभव है, जो आपको हर बार यह देखने की अनुमति देगा कि कोई आपके कंप्यूटर पर हमारे कार्यक्रम के हस्ताक्षर की जांच करता है, जिसका अर्थ है कि आपको आईपी मिल जाएगा। समय की जाँच करें। क्या यह सुविधाजनक है? ;)



मजेदार बात यह है कि अक्टूबर-नवंबर 2010 में सामग्री वापस लिखने के समय, कास्परस्की इंटरनेट सिक्योरिटी 2011 ने निर्दिष्ट रजिस्ट्री शाखाओं को ट्रैक नहीं किया था, और श्रृंखला सत्यापन ओएस के विवेक पर छोड़ दिया गया था, जिसे हमने बल्कि फुलाया था। मुझे नहीं पता कि अब क्या है, लेकिन ऐसा लगता है कि कुछ शाखाओं ने अवरुद्ध कर दिया है ... चेक करें, सदस्यता समाप्त करें!



यह ध्यान दिया जाना चाहिए कि हस्ताक्षर पर हस्ताक्षर करने के लिए विशिष्ट सॉफ़्टवेयर का उपयोग करना संभव है जो सार्वजनिक डोमेन में उपलब्ध नहीं है। यह स्पष्ट है कि वह हस्ताक्षर को नहीं तोड़ता है, लेकिन X500 क्षेत्रों में भरने के लिए अधिक लचीली संभावनाएं देता है, जो कि वैधता की उपस्थिति को भी बेहतर बनाता है। यहां एक जिज्ञासु उदाहरण डाउनलोड करना संभव है। आर्काइव में - Microsoft रिप्लेसमेंट के बिना और उसके बिना लोकप्रिय रिप्लेसमेंट नोटपैड bred3_2k ( ऑफसाइट ) की एक फाइल :) हस्ताक्षर पूरी तरह से वैध होने के लिए, यह कुंजी +। Reg फ़ाइल में निहित रजिस्ट्री में परिवर्तन करने के लिए पर्याप्त है। इसी तरह, की -reg फ़ाइल इन परिवर्तनों को छोड़ देती है। प्रमाणन पथ को ट्रैक करें - यह उत्सुक है :)



मैं तुरंत इस तथ्य पर ध्यान आकर्षित करता हूं कि "उदाहरण" के लेखक ने अपने टाइमस्टैम्प सर्वर को पंजीकृत किया, ताकि किसी भी हेरफेर के कारण लेखक आपके आईपी को पहचान सके - और फिर, जैसा कि वर्णित है। यदि आप चाहें, तो आप इन अपीलों को ट्रैक कर सकते हैं और टिप्पणियों में सदस्यता समाप्त कर सकते हैं;)



यदि आवश्यक हो, तो अगले लेख में मैं आपको बताऊंगा कि कैसे विश्वसनीय रजिस्ट्री में प्रमाण पत्र प्रस्तुत करने से बचने के लिए संबंधित रजिस्ट्री शाखाओं की सुरक्षा के लिए कूल्हों को कॉन्फ़िगर किया जाए। टिप्पणियों में सदस्यता समाप्त करें - यह संभव है कि यह भेद्यता पहले से तय हो गई है।



लेख में सामग्री प्रस्तुति जर्नो नीमेला (एफ-सिक्योर) का इस्तेमाल किया गया है।