Пользователям Mac угрожает очередной бэкдор

Печально известный троянец Flashfake, с помощью которого была создана бот-сеть, состоящая из более чем 700 000 компьютеров Apple, безусловно, стал самым ярким примером использования уязвимостей в Mac OS X, однако далеко не единственным. Эксперты «Лаборатории Касперского» обнаружили еще одну вредоносную программу для компьютеров Apple, которую можно с уверенностью отнести к угрозам, используемым в целевых атаках (Advanced Persistent Threat, APT).

В отличие от троянца Flashfake, в составе которого вредоносный функционал обнаружен не был, вредоносная программа Backdoor.OSX.SabPub.a является ярким примером того, как компьютер Apple с незакрытой уязвимостью может попасть под контроль злоумышленников.

Вредоносная программа SabPub была обнаружена в начале апреля 2012 года и содержит функционал бэкдора, то есть обеспечивает злоумышленникам возможность скрытого доступа к компьютеру и управления им. На данный момент число пользователей, которые подверглись заражению данной вредоносной программой, относительно мало. Это является дополнительным аргументом в пользу того, что она была использована для осуществления таргетированных атак. После активации на инфицированной машине вредоносная программа подключалась к специальному серверу, от которого получала инструкции. Командный центр SabPub находился в США и использовал бесплатную DNS-службу для перенаправления запросов инфицированных компьютеров.

Дальнейшие события лишь подтвердили теорию о том, что SabPub был использован для проведения целенаправленных атак. Эксперты «Лаборатории Касперского» исследовали работу компьютера, инфицированного этим бэкдором, и 15 апреля обнаружили ряд действий злоумышленников: атакующие установили контроль над зараженной системой и приступили к ее анализу. Они изучали содержимое корневых и личных папок пользователей и даже скачивали некоторые документы, заранее загруженные на «подставную» систему. Анализ скорее всего производился вручную, а не автоматически, что более характерно для «массовых» вредоносных программ. Это также говорит о том, что данная вредоносная программа представляет собой пример активно использующейся угрозы APT.

В ходе анализа вредоносной программы эксперты получили дополнительные сведения о способах первоначального заражения SabPub. Было найдено шесть документов Microsoft Word, содержащих Exploit.MSWord.CVE-2009-0563.a, два из них загружали SabPub. Кроме того, была обнаружена прямая связь между SabPub и еще одной целенаправленной атакой, предназначенной для Windows-систем и известной как LuckyCat. Это говорит о существовании единой криминальной группировки, ответственной за проведение подобных «операций». Попытка открыть другие четыре документа на уязвимых компьютерах приводила к заражению другой вредоносной программой, предназначенной для компьютеров Mac.

«Обнаружение бэкдора SabPub в очередной раз доказывает, что неуязвимых платформ не существует, – комментирует Александр Гостев, главный антивирусный эксперт «Лаборатории Касперского». – Сравнительно небольшое количество вредоносного программного обеспечения для платформы Mac OS X еще не означает ее лучшую защищенность. Недавние инциденты, такие как Flashfake и SabPub, свидетельствуют о том, что незащищенные пользователи компьютеров Mac также подвергаются риску. Очевидно, что киберпреступники таким образом реагируют на растущую долю рынка компьютеров Apple, либо целенаправленно атакуют владельцев «макинтошей» в соответствии с поставленной задачей».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

"Красная таблетка" выявила ключ, которым Intel шифрует апдейты микрокода

Команде исследователей удалось получить ключ, позволяющий расшифровать содержимое обновлений микрокода, которые компания Intel раздает на свои процессоры. Новый способ взлома авторы именуют Chip Red Pill — «красная таблетка для чипов» (поклонники кинофильма «Матрица» должны оценить это название). Находка позволяет модифицировать патч, однако его подмена не переживет перезапуск компьютера: Intel подписывает свои апдейты отдельным ключом, который анализ не выявил.

Вооружившись ключом шифрования, можно посредством разбора патча узнать о характере закрываемой уязвимости и способе ее эксплуатации. Результаты исследования также позволяют обнаружить другие, пока не известные проблемы CPU от Intel.

Способ получения ключа, который обнаружили эксперты, возможен лишь при наличии физического доступа к компьютеру. Этот метод взлома предполагает использование уязвимости в подсистеме IME (Intel Management Engine, позиционируется как средство, упрощающее работу сисадминов). Разработчики Intel уже закрыли эту брешь, но обновление прошивки всегда можно откатить. Эксплойт позволил исследователям получить доступ к встроенному в чип отладчику Red Unlock и в сервисном режиме извлечь содержимое ПЗУ микрокода (MSROM, microcode sequencer ROM).

Метод Chip Red Pill работает на машинах, использующих микропроцессоры с архитектурой Goldmont (семейства Celeron, Pentium, Atom). Все изменения, которые хакер может привнести в микрокод, будут действовать, пока устройство включено. При его перезапуске апдейт микрокода вновь проверяется на аутентичность, и чужеродная модификация будет отброшена.

Как оказалось, для защиты содержимого обновлений Intel использует потоковый шифр RC4, который многие считают уязвимым и устаревшим. Однако в компании больше уповают на другие, более надежные способы защиты.

«Описанная проблема не связана с риском нарушения безопасности на стороне пользователя, — заявили представители Intel в своем комментарии для Ars Technica. — К тому же мы не рассматриваем обфускацию данных, доступных через Red Unlock, как серьезную меру защиты информации. В дополнение к апдейту SA-00086 OEM-провайдеры, следуя рекомендациям Intel, привнесли некоторые изменения в unlock-функции, которыми воспользовались исследователи. А приватный ключ, используемый для подтверждения подлинности микрокода, не хранится на чипе, поэтому автор атаки не сможет загрузить незаверенный патч в удаленную систему».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru