парни, что там касперычи несут за firmware HDD?

[tridentxp]

итак, спецы каспера несут нам новую веху малвари от анб, а может бритов, а может других  интелектуальных личностей. фактически это достижимо. но, простите мы тут спецы камней понимаем, что в каждом винтаре свой камень или линейка их. слышал я камни ломаются.(кто мну вдогоне) посему и в прошиве вируса можно заложить загрузку своёго тела прямо на Блине.  so is anybobdy feel yourself safe here or anywhere else ?

[Юр]

Бздительность  интеллектуалов из лаборатории Касперского беспрецедентна. Как-то меня он не пускал на один админский сайт, потому что пугался его иконки и еще какого-то файла. Другие антивири на сайте не видели ничего опасного.  Я написал админу, он ответил, что у касперского паранойя, такого файла на хосте нет, а иконка проверена на вшивость. Поговаривают, что эти антивирусятники сами же вирусы и разрабатывают, чтобы не лишиться работы и клиентов. На моей памяти со скандальными "разоблачениями"всемирных заговоров  выступают  только касперские.

[tridentxp]

Юр необъективно. Ты же понимаешь, что могут быть микроконтроллеры с памятью однакратного программриования, а могут и многократного. не Ты, не я тут в них не спецы. ищу потрещать Потенциальных Спецов. но со своей стороны нахожу эти вирусы возможной лажей, посему как могут быть они писаны на сях=10500 довеска кода, а могут быть писаны на асме контроллера ХДД (а это в свою очередь найти/достать/украсть/взломать=куча времени + денег) и не факт что хватит памяти микроконтроллера чтобы перехватывать/эмулировать хоть от части или чтобы скрыть свой скрытый функционал.

[Юр]

казус.ру - там такие светлые головы... трещат про все такое.

[tridentxp]

да я за что Федя скажет. мне пока ленно просторы веба постигать, от чего "Вашу" (  )  ветку решил малясь побудоражить.

[Юр]

ну храшо, предположим, на блине есть чье-то скрытое от чужих глаз нехорошее виру-тело. Каков механизм его выгрузки в исполняемую память, чтобы его не заметили антивири со своими эвристическими завихрениями? Лежит это тело в минус первой дорожке, которую не достать никакими  акронисами. Когда операционная система обращается к какому-либо сектору, микропрограмма камня винта добавляет к считываемому файлу этот довесок. Но ему нужно как-то передать управление. Иначе тело не оживет.

[tridentxp]

ну храшо, предположим, на блине есть чье-то скрытое от чужих глаз нехорошее виру-тело. Каков механизм его выгрузки в исполняемую память, чтобы его не заметили антивири со своими эвристическими завихрениями? Лежит это тело в минус первой дорожке, которую не достать никакими  акронисами. Когда операционная система обращается к какому-либо сектору, микропрограмма камня винта добавляет к считываемому файлу этот довесок. Но ему нужно как-то передать управление. Иначе тело не оживет.

что мешает малвари испортить загрузочную область под себя внеся туда свой загрузчик, который подгрузит своё резидентное тело, после чего позволит спокойно подгрузится штатной оси (хоть мелкие, хоть линь, хоть мак ось, хоть dos), после чо, или до этого просканировать PCI в поисках ethernet card, и спокойно отлавливать чо ему нада ? согласен это будет ооочинь грамотный вирь, но согласись stuxnet всётаки атаковал Иранские центрифуги U238- тобишь люди то стараются и деньги находятся.
если прошива испорчена, то по любасу не даст видеть что то не нужное в себе самой и в нужных кластерах. если резидент написан грамотно, то например включит трассировку, захват прерываний и исключений. грамотно переведёт обращение к памяти. ну и ныхай вирь будет скрыто весить под пару гиг - не даст себя увидеть. а виной тому изменение прошивы винтаря (если разрабы заложили такой функционал) - хвост малвари.

[drfaust]

да я за что Федя скажет....

Паранойя. Ну накорябали под парочку контроллёров прошивок и толку? Работать будут только под теми HDD, для которых написаны, сменится даже ревизия фирмвари - и подобный вирусок пойдёт лесом. Сам Касперыч говорил, что разработка подобной хрени займёт несколько человеко-месяцев и работать будет только на конкретной модели веника.


Ситуация проста - подобная весЧь уникальна и может использоваться/разрабатываться только для целенаправленной атаки на конкретный комп(опять же надо знать какие веники с какими прошивами там работают). Нечто похожее и в мире линухов - вирусописакам лень писать под 100500 ядер/core-utils.
 Заразить репы бубунты трояном - пожалуйста(бывало такое), а написать что-то вроде "Чернобыля", да так, что бы вручную патченные ядра уложить - хрен вам.(под винду до 8ок я насчитывал около 7 версий kernel.exe(32 и 64 тоже считал), и там уже можно кусок вируса разработать "универсальным").


В блоге касперыча больше про то, какие "крутые кулхацкеры" там работают - прошиву веника модифицируют со злостными намерияниями... (Чёт в памяти всплыли прошивочки Ф-времён, позволяющих половинить выручку на кассах - наверное их тоже АНБ создала).

[Юр]

что мешает малвари испортить загрузочную область под себя внеся туда свой загрузчик, который подгрузит своё резидентное тело, после чего позволит спокойно подгрузится штатной оси (хоть мелкие, хоть линь, хоть мак ось, хоть dos), после чо, или до этого просканировать PCI в поисках ethernet card, и спокойно отлавливать чо ему нада ? согласен это будет ооочинь грамотный вирь, но согласись stuxnet всётаки поEb@л Иранские центрифуги U238- тобишь люди то стараются и деньги находятся.
если прошива испорчена, то по любасу не даст видеть что то не нужное в себе самой и в нужных кластерах. если резидент написан грамотно, то например включит трассировку, захват прерываний и исключений. грамотно переведёт обращение к памяти. ну и ныхай вирь будет скрыто весить под пару гиг - не даст себя увидеть. а виной тому изменение прошивы винтаря (если разрабы заложили такой функционал) - хвост малвари.

Да, это очень сложно сделать, потому что это тянет на половину полноценной операционной системы. Одно то, что этой твари нужна оперативная память, чтобы что-то натворить, при достаточном кол-ве мегабайто-гигабайт, требует механизма страничной адресации и подкачки. А чтобы достучаться куда-то вовне через сеть, тело должно содержать драйверы сетевых адаптеров.
Если вирус грузится так, как ты описал, то получаются два изолированных друг от друга адресных пространства, и для доступа к ресурсам компьютера  они должны как-то переключаться между собой. По прерыванию это можно сделать, но все равно очень сложная и громоздкая конструкция на мой дилетантский взгляд получается, тем более, чтобы ее не расчухал кто-то любопытный  или профессионал. А если требуется считывать винчестеры, то это можно достаточно легко отследить по сетевой активности. Типичный админ на простом предприятии не заморачивается слежением за тем, куда ломится его хост, а вот на режимных - просто обязаны, тем более, что трафик обычно проходит через отдельный сервер-роутер. Поэтому вся эта затея достаточно быстро себя обнаружит, и будет большой скандал с катастрофическими репутационными потерями производителя.
Лично мне так представляется.

[drfaust]

ЮР, слишком мрачно обрисовал. Несколько попроще:
Задача модифицированной прошивы - откусить с десяток метров от веника и скрыть их, при обращении к 0-сектору распознать MBR/GPT, вычислить где загрузчик ОС, загрузить "спрятанный кусок" и передать ему управление.


"Спрятанный кусок" - гипервизор, грузится в память в 0м кольце защиты, устанавливает обработчики исключений, откусывает ОЗУ под себя и т.п. Потом грузит загрузчик ОСи, при этом ни загрузчик, ни сама ОСь никогда не узнает, что работает под гипервизором (Иоанна Рутковская давно уже расписала как делать синие/красные таблЭтки). При этом гипервизору не надо знать о сетевухах, видюхах и пр., он может пользоваться услугами самой ОС, и задачи перед ним будут мелкие(перехват паролей, и отсылка их легальными средствами в конторе, например корпоративной почтой через оутглюк).

[SkaT]

Судя по официальному заявлению буржуйского президента (если верить нашим сми) производители техники должны сотрудничать с "соответствующими службами", а это уже серьёзно и нагло одновременно.
А если учесть, что "железо" буржуи издавна делали с "закладками", и делают до сих пор, то удивляться не приходится. Простой пример, на дискетах окно защиты от записи/стирания обрабатывалось только программно, а не аппаратно (как на наших персоналках). И любой "нормальный" вирь спокойно записывался на дискету "защищенную от записи". А сейчас по аналогичной схеме устроена и защита от записи на CD-карты.

[lened]

Вот еще:
Закладки в БИОСЕ:
http://bulochnikov.livejournal.com/1755480.html

[Юр]

"Спрятанный кусок" - гипервизор, грузится в память в 0м кольце защиты, устанавливает обработчики исключений, откусывает ОЗУ под себя и т.п. Потом грузит загрузчик ОСи, при этом ни загрузчик, ни сама ОСь никогда не узнает, что работает под гипервизором (Иоанна Рутковская давно уже расписала как делать синие/красные таблЭтки).

А как он попадает в нулевое кольцо, если процессор в это время (до загрузки ОС) работает в реальном режиме и адресные таблицы еще не сформированы? Их форомирует основная операционная система, она также инициализирует заново контроллер прерываний. Поэтому работа таких вирей (которые сегодня попадают в биос) для меня пока загадка.

[Юр]

Вот еще:
Закладки в БИОСЕ:
http://bulochnikov.livejournal.com/1755480.html

Эту статью здесь уже кто--то приводил в снесенной теме про закладки в wi-fi-утюгах.

[drfaust]

А как он попадает в нулевое кольцо, если процессор в это время (до загрузки ОС) работает в реальном режиме и адресные таблицы еще не сформированы? Их форомирует основная операционная система, она также инициализирует заново контроллер прерываний. Поэтому работа таких вирей (которые сегодня попадают в биос) для меня пока загадка.

А чем вирус отличается от ОС? Та же программа. Ничто не мешает перевести проц в защищённый режим ещё до ОСи, и сформировать для будущего соответствующую среду.


Например в учебниках по АСМу  переход в защищённый и последующий возврат в реальный x86 с подготовкой таблиц дескрипторов занимает пару страниц учебника(при этом учебный пример обычно что-то печатает на экран)...

[drfaust]

...Эту статью здесь уже кто--то приводил в снесенной теме про закладки в wi-fi-утюгах.

Там есть пример определения работы под гипервизором, так вот эта фишка легко гипервизором обходится. Таймер RTC слишком медленный, а отсчёт по тикам проца без проблем отслеживается гипервизором(перехват команды rdtsc) и соответственно корректируется.

[Юр]

А чем вирус отличается от ОС? Та же программа. Ничто не мешает перевести проц в защищённый режим ещё до ОСи, и сформировать для будущего соответствующую среду.

Но в таком случае мы и получаем изолированное от основной оси адресное пространство. А если контроллер прерываний тоже инициализирует "вторая ось" (т.е. основная, которой в конечном итоге и передается управление), то как процессор сможет вообще перейти на адрес "первой" (вирусной) "оси"?. Что его заставит это сделать? Если вирь не переделает под себя модули нормальной ОС.

[drfaust]

...Но в таком случае мы и получаем изолированное от основной оси адресное пространство. А если контроллер прерываний тоже инициализирует "вторая ось" (т.е. основная, которой в конечном итоге и передается управление), то как процессор сможет вообще перейти на адрес "первой" (вирусной) "оси"?. Что его заставит это сделать? Если вирь не переделает под себя модули нормальной ОС.

Нет. Не забываем, что гипервизор в 0м кольце и имеет доступ ко всему, что есть в компе. Контроллёры DMA/PIC и пр. - это перехват прерываний. Например в ДОСе я из проги тоже могу писать/читать PIC, но DPMI-сервер легко это отслеживает и не позволяет лезть не туда(т.е. моя прога думает, что контроллер запрограммировал - корректный ответ получен, а реальная микруха ни сном ни духом)

[Юр]

Попробую по-другому. Вначале стартует вирь-загрузчик-тела-виря - > загружается тело, оно переводит проц в ЗРР и формирует таблицы с дескрипторами и вновь переводит проц в РРР. После этого он передает управление первичному загрузчику штатной ОС (сислинукс, нтлодырь етц), он вроде как загружает скажем так winload.exe и далее снова переводит проц в ЗРР, наново формируются таблицы с дескрипторами и что там понаделала в памяти прежняя "ОС" (таблицы прерываний и дескрипторов) - все стирается/переписывается. Так?

Если не стирается, то почему штатная ось должна обойти эти участки памяти стороной, имея все привилегии и доступы и уверенность, что все ОЗУ в ее полном распоряжении?

[CrazyPOVT]

А не проще зловреду через SMM работать?
Что-то такое в памяти вертится, правда там вирус сидел не в прошивке веника, а в биосе.

[drfaust]

назад в реальный он НЕ переводит. Перехватывает всё "привилегированное" и обрабатывает таким образом, что "гость" даже не замечает, что уже пашет в защищённом. Например, многие виртуалки, например qemu могут эмулировать комп, позволять гостю общаться с видюхой напрямую и тп, но намертво защищают и себя и хост-систему.

[drfaust]

А не проще зловреду через SMM работать?
Что-то такое в памяти вертится, правда там вирус сидел не в прошивке веника, а в биосе.

SMM мало что умеет, он слишком кастрирован, по сранению с 0м кольцом, да и разработка будет дороже. memtest, например, почти весь на С нарисован, только мелкая часть на асме.

[Юр]

Т.е. вирь служит хостом, а штатная ОС выполняется как бэ в его виртуальной машине, эмулирующей ресурсы компьютера?

[drfaust]

именно, только вирю не нужна полноценная виртуалка - он далеко не всё должна мониторить (системная логика, память команды привелегированного режима - это да, но не надо отслеживать доступ к портам юсб, контроллеров винта, видюхи, сетевухи - это наоборот пусть гость делает дровами), а зная какой гость работает - отправить письмецо "оутлоком" через оле или дде - ваще раз чихнуть, не говоря о доступе к сетевому стеку, но тут можно на грамотного админа нарваться, лучше отправить письмо с доками/паролями некоему подставному "поставщику канцтоваров", маскируясь под легальный трафик...

[Юр]

ок, предположим. это возможно, если вирь-система грузится с винчестера, потому что она будет прилично весить.На винчестере есть много лишнего места, которое к тому же можно скрыть. Но что делают подобные вири, которые кучкуются в биосне?
Какова вообще роль биос в работе компьютера после загрузки современной  ОСЗР кроме мониторинга температуры и прочих мелких  подсистем?

[drfaust]

Для создания гипервизора много места не надо, и 128Кб хватит. Вот сколько, к примеру, весит резидентная часть QEMM? - а это полноценный гипервизор, дающий, к тому же несколько наборов API (DPMI, ACPI, XMS, EMS).
В БИОСе удобно располагать часть виря, который основной кусок подгружает с конца веника, опять же, там уже может висеть почти весь гипервизор.

[Юр]

Для создания гипервизора много места не надо, и 128Кб хватит. Вот сколько, к примеру, весит резидентная часть QEMM? - а это полноценный гипервизор, дающий, к тому же несколько наборов API (DPMI, ACPI, XMS, EMS).

Но это же дос-расширители, работали в том же РРР. Им и доступно было с гулькин фиг памяти сверх 1 метра. Вся прелесть и гибкость  ЗРР теряется, а кольцах защиты вообще придется забыть.

И ваще, если взять тот же Оракл ВБокс, в нем виртуальное железо собственное, абстрактное,  а чтобы обратиться к ресурсам, используются средства хостовой ОС. Перекладывая это соотношение к нашему случаю, штатная ОС должна пользоваться средствами, которые ей предоставит вирус-хост. Вирус-"хост" должен быть таким универсальным, чтобы мог работать с разнообразными аппаратными платформами. А далеко не всегда даже семерка содержит необходимые драйверы, не говоря уже о хрюшке. Не много ли мы хотим от вирусни?

Поэтому работа таких вирусов из загрузочных секторов остается для меня не вполне понятной.

В БИОСе удобно располагать часть виря, который основной кусок подгружает с конца веника, опять же, там уже может висеть почти весь гипервизор.

Купили материнку одного производителя с довеском в биосе, к сборке добавили ХДД другого производителя - где зловредной биосне взять нужный конец веника? Придется ограничиться собственным кодом. И что он все-таки может?

Пардон муи за занудство, но покопаться в потрохах и подробностях было заделом ТС. Да и интересненько все  ж...

[drfaust]

...Но это же дос-расширители, работали в том же РРР. Им и доступно было с гулькин фиг памяти сверх 1 метра.

Я приводил в пример QEMM, а не himem.sys - первый полноценно владел 0м кольцом и предоставлял всё необходимое win3.11 (менеджеры памяти которой сами в 0е щемились)

И ваще, если взять тот же Оракл ВБокс, в нем виртуальное железо собственное, абстрактно...

Опять же не vbox, а  qemu, который способен скрыть своё присутствие для любой ОСи-гостя.

Купили материнку одного производителя с довеском в биосе, к сборке добавили ХДД другого производителя - где зловредной биосне взять нужный конец веника? Придется ограничиться собственным кодом. И что он все-таки может?

Пардон муи за занудство, но покопаться в потрохах и подробностях было заделом ТС. Да и интересненько все  ж...

Тогда были IDE-веники с простым API - а в конец веника, не модифицируя FAT писались многие обычные вирусы - вероятность перетирания той области была равна 0. К тому же BIOS-вирусы так и не вылезли за пределы экспериментов, эта судьба ждёт и HDD-вирусов...

[Юр]

Все АНБ поминаем всуе, а что китайцы лучше?
19 февраля стало известно о программе Superfish, которая с лета 2014 года поставляется с ноутбуками серий G, U, Y, Z, S, Flex, Miix, Yoga и E. Утилита прослушивает трафик, в том числе HTTPS, подделывает SSL-сертификаты сторонних сайтов, анализирует поисковые запросы пользователя и вставляет рекламу на страницы сторонних ресурсов.

[drfaust]

Все АНБ поминаем всуе, а что китайцы лучше?
19 февраля стало известно о программе Superfish...

Не понимаю людей, кушающих то, что дают "в нагрузку". У меня даже при восстановлении винды из recovery под нож идут все лишние утилы без разбора, за исключением пробника офиса. В первую очередь, "антивирусы", обновляторы и пр. хрень, что лезет в автозагрузку и нет.

...Утилита прослушивает трафик, в том числе HTTPS, подделывает SSL-сертификаты сторонних сайтов, анализирует поисковые запросы пользователя и вставляет рекламу на страницы сторонних ресурсов.

Не верная инфа - это рекламный баннер, но имеет уязвимость для атаки MiM