Kaspersky вышла на вредоноса, способного расшифровывать TLS-трафик

Kaspersky вышла на вредоноса, способного расшифровывать TLS-трафик

«Лаборатория Касперского» обнаружила новую вредоносную программу, способную расшифровывать TLS-трафик без необходимости перехватывать или видоизменять его. Предположительно, за операциями этого вредоноса стоит киберпреступная группировка Turla.

Выявленный экспертами антивирусной компании образец получил имя Reductor, впервые его атаки были замечены в апреле. Исследователи нашли связь этого зловреда с другим трояном — COMpFun.

По словам специалистов «Лаборатории Касперского», Reductor уникален тем, что может манипулировать TLS-сертификатами. Такой подход открывает возможность для маскировки установщиков вредоносных программ под легитимный софт.

«Помимо обычных для RAT-вредоносов функций (выгрузка, загрузка и выполнение файлов), авторы Reductor оснастили его возможностью манипуляции цифровыми сертификатами. Благодаря этому зловред может помечать зашифрованный трафик уникальными идентификаторами», — пишет «Лаборатория Касперского».

Исследователи уточнили, что Reductor распространяется либо за счёт инфицирования популярных установщиков (Internet Downloader Manager, WinRAR и прочее), либо через троян COMpFun, который может скачивать и устанавливать другие вредоносные программы в систему.

В отличие от стандартной практики атак «Человек посередине» или кражи ключей, Reductor заражает один из браузеров — Chrome или Firefox.

«Злоумышленники нашли действительно интересный способ помечать TLS-трафик — они вообще не трогают сетевые пакеты. Вместо этого операторы проанализировали исходный код Firefox и Chrome, благодаря чему нашли способ пропатчить PRNG-функции в памяти процесса», — объясняют специалисты.

Скомпрометировав генератор случайных чисел, вредонос будет в состоянии отслеживать, как шифруется трафик при установке жертвой TLS-подключения.

Поскольку эти данные можно расшифровать, атакующий способен вклиниться в трафик в момент его передачи.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Уязвимости LogoFAIL в UEFI затрагивают сотни устройств Intel, Acer, Lenovo

В коде UEFI различных вендоров выявлены множественные уязвимости, позволяющие с с помощью картинки внедрить в систему буткит. Угроза с условным названием LogoFAIL актуальна для устройств с архитектурой x86 и ARM.

Корнем зла являются компоненты UEFI, отвечающие за парсинг изображений, — библиотеки, которые вендоры используют для показа логотипов при загрузке системы. Уязвимости, которым было присвоено общее имя LogoFAIL, обнаружили аналитики из ИБ-компании Binarly.

В ходе исследования площади атаки, связанной с использованием кастомных или устаревших парсеров в UEFI, эксперты обнаружили множество возможностей для внедрения вредоносной картинки / логотипа в системный раздел EFI (ESP) или в неподписанные секции обновления прошивки.

Эксплуатация таких уязвимостей, по словам исследователей, позволяет угнать поток исполнения и обойти спецзашиту (безопасную загрузку), в том числе аппаратные механизмы Intel Boot Guard, AMD Hardware-Validated Boot и ARM TrustZone-based Secure Boot.

 

Как показывает практика, вредоносы, внедряемые подобным образом, обеспечивают злоумышленникам постоянное и незаметное присутствие в системе. Атака LogoFAIL еще более скрытна: она не нарушает целостность среды исполнения, так как не требует модификации прошивки либо загрузчика ОС — как в случае с BlackLotus или BootHole.

 

Поскольку LogoFAIL безразлично, какой CPU использует жертва, данная проблема затрагивает многих вендоров и чипмейкеров. Исследователи уже установили, что она актуальна для сотен устройств Intel, Acer, Lenovo, а также для UEFI-прошивок производства AMI, Insyde и Phoenix.

Все затронутые поставщики уже оповещены о новой угрозе. Подробные результаты исследования Binarly представит 6 декабря на конференции Black Hat Europe, которая в этом году проводится в Лондоне.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru