باید در تاریخ نوشت: شاهکار امنیتی مایکروسافت

هفته پیش مایکروسافت یک وصله امنیتی برای ویندوزهای ویستا، هفت و ۲۰۰۸ منتشر کرد. حفره امنیتی کشف شده واقعا پدیده‌ی باورنکردنی و تاریخی است:

«نفوذگر با ارسال تعدادی بسته UDP خاص به یک پورت بسته می‌تواند کدی را در سطح کرنل ویندوز اجرا کند»

این حفره فوق العاده خطرناک است:

1. اجرای کد در سطح کرنل، یعنی دسترسی حتی بالاتر از دسترسی ادمین سیستم. یعنی کنترل «کامل» کامپیوتر
2. هک کردن کامپیوتر از طریق پورت بسته؛ یعنی نفوذگر کاملا از راه دور و بدون نیاز به هیچ کار خاصی (حتی بدون رد شدن از فایروال ویندوز!) قادر به حمله کردن است.

واقعا قرار دادن چنین باگ فجیعی در یک برنامه کامپیوتری نبوغ(!) بالایی می‌خواهد و در نظر اول تا حدی به یک درب پشتی عمدی شبیه است که مایکروسافت درون محصول خودش جاسازی کرده باشد. هر چند جزئیات ماجرا شواهد کافی در اختیار نمی‌گذارد.

اگر چه مایکروسافت گزارش کرده که هنوز سواستفاده از این باگ توسط هکرها مشاهده نشده است، و استفاده از آن را اندکی مشکل می‌دانند، مطمئن باشید که مسابقه آغاز شده، و ظرف چند روز همه به ابزارهای حمله به این آسیب‌پذیری مجهز خواهند شد. پس مراقب باشید!

از من می‌شنوید، با اوضاع جاری در حوزه امنیت کامپیوتر؛ از استاکس‌نت گرفته تا حملات ایرانی‌ها به CAها (هک کومودو) و ... بعید نمی‌دانم که تا سال دیگر شاهد حملاتی به آسیب‌پذیری‌های سطح پایین‌تر مثل خود سی‌پی‌یو و کارت شبکه باشیم. حملاتی که مستقل از سیستم عامل، کامپیوتر هدف را از کار بیندازند و ما را کلا وارد فاز جدید (و ترسناکتری) از حملات سایبری کنند.

پ.ن: جالب اینجاست که این آسیب‌پذیری فقط در ویندوزهای ویستا به بعد (که بسیار بسیار امن‌تر تلقی می‌شوند) گزارش شده و فعلا ایکس پی و ۲۰۰۳ مشکلی نداشته‌اند.

هنگامیکه واقعیت از فیلم سینمایی عجیبتر است! کرم Stuxnet و حمله به ایران

بروزرسانی:‌ پست جدید من در مورد استاکس نت و تئوری حمله به تاسیسات اتمی ایران

هنگامیکه کرم کامپیوتری استاکس نت (Stuxnet) نخستین بار در ژوئن 2010، توسط شرکت VirusBlokAda شناسایی شد هیچ کس نمی‌دانست که با چه پدیده نو و شگفتی مواجه شده است. کرمی که ماه‌ها (و شاید یکسال) بود ناشناخته مانده بود!

درباره عجایب این کرم کامپیوتری همین بس که سیمانتک می‌گوید: «اگر یک ماه پیش کسی درباره چنین چیزی با ما صحبت می‌کرد، می‌گفتیم از لحاظ تئوری ممکن است، ولی بیشتر به سناریوی یک فیلم سینمایی شبیه است» (نقل به مضمون)
با توجه به پیچیدگی‌های کرم Stuxnet، اهدافش و سایر نکاتی که در ادامه می‌آید، بسیاری معتقدند که این نه یک بدافزار معمولی یا تجاری، بلکه در واقع نوعی جنگ بر علیه تاسیسات صنعتی یک کشور بوده است. و ایران، کشوری‌ست که بیشترین آلودگی به این ویروس در آن گزارش شده است. بخوانید و خودتان قضاوت کنید.

میان‌برنامه - حفره داغ LNK ویندوز

این در واقع یک خبر است و نه یک پست و فقط به دلیل اهمیت موضوع درج می‌شود.

اولین بار سه چهار روز پیش در وبلاگی نام حفره امنیتی LNK ویندوز را شنیدم که در تمامی نسخه‌های آن از XP و Vista گرفته تا 7 موجود است.
امروز که فرصت یافتم کمی درباره آن بیشتر بررسی کنم، به نکات زیر برخورد کردم:

1. این حفره بعد از این کشف شد که به صورت گسترده توسط بدافزارها مورد استفاده قرار گرفته بود. پس از کشف نیز توجه زیادی را جلب کرده و به سرعت بدافزارهای جدیدی به کمک آن منتشر می‌شوند.
2. این حفره در تمامی نسخه‌های ویندوز موجود است و تاکنون مایکروسافت برای رفع آن بسته‌ای منتشر نکرده است. (+)
   

   هشدار:
   بنابراین حتی اگر ویندوزتان بروز هم باشد در خطر هستید.

3. برای جلوگیری از آلوده شدن کامپیوترتان و تا زمانیکه مایکروسافت بالاخره بسته مناسب را منتشر می‌کند، می‌توانید از نرم‌افزار Windows Shortcut Exploit Protection Tool (در کنار آنتی‌ویروس‌تان) بهره بگیرید که دیروز توسط تیم امنیتی آنتی‌ویروس Sophos منتشر شده است.
4. با بهره‌گیری از این حفره، کد مخرب هنگامیکه ویندوز صرفا بخواهد شمایل (Icon) یک فایل lnk (فایل‌های میانبر) را نمایش دهد اجرا می‌شود. بدین ترتیب کافیست شما شاخه‌ای را که فایل مخرب در آن قرار دارد «رویت» کنید تا کامپیوترتان آلوده شود.
   
   این شاخه می‌تواند یک حافظه USB یک شاخه به اشتراک گذاشته شده در شبکه یا حتی اینترنت باشد. همچنین ممکن است فایل مخرب داخل فایل doc ورد یا مانند آن جایگذاری شده باشد.

منبع و اطلاعات بیشتر

بروزرسانی 1389/5/12: مایکروسافت patch امنیتی مرتبط با این حفره را منتشر کرد. (MS10-046)
بنابراین اکنون می‌توانید نخست ویندوزتان را بروز کنید و سپس نرم‌افزار Windows Shortcut Exploit Protection Tool را پاک کنید. :)

کلمات کلیدی: AntiVirus, LNK, Shortcut, Exploit, Rootkit, Windows, آنتی ویروس, امنیت, روت کیت, ویندوز, میان‌برنامه, میانبر, حفره

میان‌برنامه - درباره Rootkitها و ناگفته‌هایی از پرونده 1

تعریف مساله

مدتی پیش در مورد کرم کانفیکر (کیدو) مطلبی نوشتم. یکی از موضوعاتی که به منظور طولانی نشدن مطلب از پرداختن به آن خودداری کردم و فقط اشاره‌ای به آن شد، توضیحی در مورد روت‌کیت (Rootkit) بودن این کرم بود.
روت‌کیت در اصطلاح امنیت نرم‌افزار، به نوعی بدافزار (Malware) گفته می‌شود که با دستکاری کردن برخی توابع سیستم‌عامل، تلاش می‌کند حضور خود را از دید پنهان کند و یا در کار آن خللی ایجاد کند. روت‌کیت در واقع از شوم‌ترین انواع بدافزار است، چرا که در تئوری اگر کامپیوتری مبتلا به یک روت‌کیت قوی شود هرگز و با هیچ ابزاری از درون سیستم‌عامل نمی‌توان از وجود روت‌کیت مطلع شد یا آن را از بین برد. (البته همواره می‌توان از خارج از سیستم‌عامل و به کمک یک سیستم‌عامل سالم و بدون روت‌کیت، آن را شناسایی کرد)
به عنوان مثال: یک روت‌کیت می‌تواند فایل‌های مربوط به خود را از چشم سیستم‌عامل و تمامی برنامه‌ها (مثل آنتی‌ویروس) پنهان کند.
اما در عمل شناخت روت‌کیت از درون سیستم‌عامل میسر است، چرا که روت‌کیت‌ها عملا قادر به شبیه‌سازی کلیه توابع مرتبط سیستم‌عامل نیستند و فقط برخی از متداول‌ترین آنها را تغییر می‌دهند. از این رو می‌توان با مقایسه رفتار توابع مختلف سیستم و یافتن ناهمگونی در آنها به وجود روت‌کیت پی برد. بر همین اساس برنامه‌هایی وجود دارند که کارشان تشخیص روت‌کیت‌ها (شناخته شده و حتی ناشناخته) است.
در همان مثال قبل: معمولا می‌توان با رفتن به سراغ توابع سطح پایین کار با هارد دیسک، و مطابقت دادن ساختار فایل‌سیستم با آنچه سیستم‌عامل نشان می‌دهد ناهماهنگی‌ها را کشف و به وجود روت‌کیت پی برد.

مثال واقعی

کرم کانفیکری که در پرونده 1 با آن برخورد داشتیم نیز دارای یک بخش روت‌کیت بود که، با دستکاری توابع سیستمی، از ارتباط با سایت‌های امنیتی جلوگیری می‌کرد. اتفاقا نحوه کشف آن بسیار جالب بود که در ادامه مطلب می‌خوانید:
هنگامیکه متوجه شدم کامپیوتر سایت microsoft.com را نمی‌آورد، برای فهمیدن علت از دستور ping استفاده کردم. نتیجه چنین بود:

> ping microsoft.com
Ping request could not find host microsoft.com. Please check the 
name and try again.

که نشان می‌دهد مشکلی در سرویس DNS وجود داشته و موفق نشده است آدرس سایت را پیدا کند. بنابراین با دستور nslookup موضوع را بررسی کردم و با کمال تعجب با پاسخی مانند زیر روبرو شدم:

>nslookup microsoft.com
Server:  google-public-dns-a.google.com
Address:  8.8.8.8

Non-authoritative answer:
Name:    microsoft.com
Addresses:  207.46.197.32, 207.46.232.182

وقتی یکبار دیگر ping را اجرا کردم و باز همان پاسخ قبلی را دریافت کردم یقین پیدا کردم که موضوع از بدافزاری غیرعادی نشات می‌گیرد. بسیاری از بدافزارها مانع دسترسی به سایت‌های امنیتی می‌شوند، اما این کار معمولا با دستکاری فایل hosts و برگرداندن یک آدرس جعلی انجام می‌گیرد. در حالیکه در اینجا ping اصلا آدرسی را پیدا نمی‌کرد و این نشان می‌داد این تغییر به نحو هوشمندانه‌تری (و احتمالا با تغییر توابع سیستمی) انجام شده است.
نهایتا هنگامیکه برنامه Kido Killer مشغول پاکسازی کرم بود، پیغامی را مبنی بر پاکسازی یکی از توابع سرویس DNS نمایش داد که تاییدی بر تردیدهای قبلی بود.

کلمات کلیدی: Conficker, Kido, Rootkit, Windows, Worm, امنیت, روت کیت, ویندوز, کانفیکر, کرم, کیدو