Hoofdcategorieën
Device Settings

Proof-of-concept-code cpu-specifiek virus gepubliceerd

Door Harm Hilvers, maandag 28 augustus 2006 16:41
Bron: vnunet, views: 17.387

Securityonderzoekers bij Symantec hebben een nieuw proof-of-concept-virus ontdekt dat zich specifiek richt op AMD-processors in plaats van bepaalde besturingssystemen. De malware is beschikbaar in twee versies: w32.bound en w64.bound voor respectievelijk 32- en 64-bit Windows-systemen. Het gaat nu nog om proof-of-concept-code, maar de mogelijkheid bestaat dat het virus wordt uitgebreid zodat het op meer verschillende hardware-architecturen en OS'en zal kunnen werken. Een probleem daarbij is echter dat iedere processorfamilie zijn eigen variant op opcode spreekt om met de hardware te communiceren. Vooralsnog gaat het om een Windows-virus, maar de mogelijkheid bestaat dat dit in de toekomst wordt uitgebreid zodat ook *nix-achtigen ermee bediend kunnen worden.

Technologie / Virus / MalwareAls het virus eenmaal geactiveerd is, wat onder meer kan plaatsvinden door een besmette executable te starten, gaat het zich hechten aan andere uitvoerbare bestanden in Windows. Vervolgens wordt geprobeerd om toegang te krijgen tot de hardware en de processor, waarbij eventuele softwarematige beveiligingen omzeild worden. Hierbij hoeft niet gebruikgemaakt te worden van lekken in Windows, aangezien er ook op gewone wijze toegang verkregen kan worden tot de hardware. Als dat eenmaal gelukt is, is het in theorie mogelijk om van alles te doen met de computer, zoals het verwijderen van data van een harde schijf of het leegmaken van het BIOS.

Volgende 16:42 Pluto, porno en VS voeren Wikipedia's eigen zeitgeist aan
Vorige 16:06 TomTom stijgt naar tweede plek in VS
Advertentie

Reacties

«  1  2  »

Ben ik blij dat ik een intel proc heb :)

:? Staat mn bericht negatief. Mag ik niet blij zijn dat dat probleem mij niet kan overkomen? |:(

Het gaat nu nog om proof-of-concept-code, maar de mogelijkheid bestaat dat het virus wordt uitgebreid zodat het op meer verschillende hardware-architecturen en OS'en zal kunnen werken.

Lezen is ook een kunst ;)

In de toekomst zullen er dus ook varianten speciaal voor intel komen. Het gaat er om dat dit soort virussen de computer aanvalt door rechtstreeks met de hardware te babbelen, in plaats van software matig re rotzooien.

inderdaad lezen is een kunst, intel wordt nergens genoemd er wordt alleen gesproken over een mogelijkheid en verschillende hardware-architecturen, dat er varianten voor intel komen is puur suggestief en waarschijnlijk voor jou wishfull thinking

Nu staat het weer op 0.

als ik 't dus goed begrijp is dit, indien niet snel opgelost, een gigantisch probleem...

maar dit virus slaat dus heel windows over en gaat direct met je hardware aan de slag? hoe moet ik me dat voorstellen (api? drivers?)

Mij lijkt de firmware dan logischer.
Dat kan je hardware dus mooi onbruikbaar maken :(

Als je als gebruiker met beperkte rechten werkt heeft dit virus geen kans, tenzij het via directX de hardware weet aan te spreken. Voor een beperkte gebruiker is DirectX de enige directe toegang naar hardware.

Dat wil niet zeggen dat je als gebruiker met beperkte rechten geen rechten hebt om onveilige opcodes te runnen. Daar wordt bij mijn weten niet op gecontroleerd.

Een probleem daarbij is echter dat iedere processorfamilie zijn eigen variant op opcode spreekt om met de hardware te communiceren.
Dus het lijkt me dat een of andere zeer low-level 'taal' (machine-code) gebruikt zal worden. Mijn idee is dat de opcode vervalst wordt op een of andere manier. Maargoed, is maar een speculatie.

typo's

Opcodes worden vaak niet direct door de hardware uitgevoerd, maar door zogenaamde microcode. In het aangehaalde artikel wordt dit onderscheid niet gemaakt, waardoor het tamelijk onduidelijk wordt. Kennelijk heeft men een virus ondekt dat microcode can aanpassen. De gewijzigde microcode is onzichtbaar voor de hogere niveau software (OS en andere executables).

Dat kan toch alleen vanuit ring 0 neem ik aan? Dan heb je dus sowieso root access nodig, en zie ik niet in wat hier zo bijzonder aan is. Ik kan ook wel een machine slopen als ik root access heb hoor, daar heb ik dit virus niet voor nodig.

Zelfs root heeft geen ring 0 access. Alleen de core kernel heeft ring 0 access.

Ik ben dan vooral benieuwd of dit dan ook gevolgen kan hebben op andere besturingssystemen. Zoals ik het hier lees maakt dat niet uit, of heb ik dit nou fout.

En waarschijnlijk zou dit dan ook het eerste virus voor macosx worden. Apple gebruikt dan wel intel hardware, maar dit virus kan je waarschijnlijk ook wel naar intel overzetten.

De mac heeft al vaker virussen gehad hoor, al zijn het er niet heel veel. (8>

eerste virus voor macosx worden
Die (zie ook deze) was er al hoor.

Heeft Mac OSX na 5 jaar nog maar 2 virussen?

En dan nog maar enkel proof of concepts?!!!

Switchen!!!!! :+

zodat ook *nix-achtigen ermee bediend kunnen worden.
is mac, met name OS X, niet ook gebaseerd op *nix ?

volgens mij alleen de kernel maar ik ben geen MAC expert

De kernel is ook het Operating System ;) . Alle software daaromheen die daar tegenwoordig haast automatisch bijkomt hoort in principe niet tot het OS.

Het antwoord is nee! OS/X is OpenDarwin en dat is FreeBSD 3.2 die loopt op een Mach 3.0 Microkernel. Dus het is misschien gebaseerd op *BSD maar dan is het nog geen unix...

En FreeBSD is gebaseert op BSD Unix.

http://www.freebsd.org/ -> "Based on BSD UNIX"

Ik acht de kans groot dat BSD Unix afstamt van Unix.

Unix history: http://www.levenez.com/unix/history.html

In dat schema kun je Mac OS/X terug vinden, en als ej dan alle lijntje terugvolgt kom je bij unix uit.

Ik ben het dan ook niet met je eens, ik ben van mening dat Mac OS/X wel degelijk een unix-based OS is.

Vooralsnog gaat het om een Windows-virus, maar de mogelijkheid bestaat dat dit in de toekomst wordt uitgebreid zodat ook *nix-achtigen ermee bediend kunnen worden.
en MAC`s ;)

ik ga er tenminste vanuit dat Intel vroeg of laat ook aan de beurt is. en aangezien MAC`s gebruik maken van Intel CPU`s worden die ook kwetsbaar.

en natuurlijk de tweakers die MAC OS X op een windows PC draaien met een AMD en mogelijk later Intel

Het gaat dus feitelijk om een chip-level treat virus specifiek voor de opcode van AMD processoren, om van daaruit zeer lowlevel toegang te krijgen tot het systeem. Dat is dus niet heel anders dan het CIH/Chernobyl dat deed middels het flash-BIOS in 1998.

Je zou bijna Intel gaan verdenken van sponsoring van de schrijvers van dit virus! ;)

Leuk als zo'n ding ook nog eens verspreid gaat worden via de email en dan lekker je BIOS 'leeg flashen'. Internationale ramp.

Dan is de verspreidingssnelheid afhankelijk van hoe lang mensen hun PC aan laten staan.
Na de reboot doet de PC het namelijk niet meer en kan dus het virus zich ook niet verder verspreiden.

Kortom ik denk niet dat ze heel erg vervelende dingen gaan doen, want dan verpreid het virus zich niet snel genoeg.

Maar goed, mocht je nog meer doom-scenario's willen...
- Password op de hdd controller zetten
- extra ruimte in diverse eeproms misbruiken om zich in te verbergen zodat je na een herinstall ineens weer besmet bent
- een virtuele machine starten die virussen of spam gaat versturen via het netwerk
- firmware van branders aanpassen (die gebruiken de meeste mensen niet dagelijks)
- spanningen van componenten aanpassen (CPU, geheugen etc) waardoor dingen na verloop van tijd doorfikken.
- keylogger installeren
- Boot-logo's aanpassen (hacked by... bladiebla)
- modems laten inbellen naar dure betaalnummers.

etc.

Kwestie van een "tijdbom". Eerst flink laten verspreiden en dan 120 dagen na tijdstip 0 allemaal tegelijk de BIOS leegflashen. Of een "BIOS leegflashdag" inbouwen zodat niemand meer kan booten op 14maart ofzo. Genoeg tijd om te verspreiden, genoeg mogelijkheid om schade aan te richten... Die truc is in de viruswereld al zo oud als de weg naar Kralingen.

dat zich specifiek richt op AMD-processors in plaats van bepaalde besturingssystemen
Onzin, lees ook deze thread @ aces.

Er wordt door Symantec helemaal geen vermelding gemaakt over AMD processoren, maar over "W64.Bounds is a virus that infects 64-bit Windows executable files"

Die gast die schrijft voor VNUnet heeft waarschijnlijk gelezen "Systems Affected: Windows 64-bit (AMD64)". AMD64? Dan moeten het wel AMD processoren zijn.

Zie ook W64.BoundsRisk Level 1: Very Low en W64.Bounds - New 64 bit EXE virus infector.

Niets geen processor specifiek virus dus.

In dat geval zou het dus enkel gaan om een virus dat enkel een computer met 32- of 64-bit cpu kan besmetten (voor elk cpu type een apart virus)? :Y)

Uit het originele artikel:
But you would not use this technique if you wanted to get a pandemic. You would not use this technique unless it was for a very targeted attack or an academic attack
Er staat zelfs in het artikel dat het gewoon een hobbybob projectje is om te bewijzen dat dit kan. Het is ook helemaal niet nieuw, Chernobyl wordt er ook in genoemd, en er wordt genoemd dat dit type virus zeldzaam is omdat je er bar weinig doelen mee treffen kan. Als je het interview leest staat daar iets heel anders dan in de beschrijving van die knakker van VNUnet. Die bouwt me daar een ophef, om echt helemaal níéts.

Ik hoop dat de schrijver van het originele artikel gauw een echte baan vind ipv te schrijven voor een technisch blad want daar is ie wel voor gediskwalificeerd.

in dat geval mag VNU en Tweakers (maar dat is natuurlijk ook van VNU) zich rot schamen.
Of gaan melden dat het gesponsord wordt door Intel.

Errr....ben je niet sowieso de klos als je besmette .exe's gaat starten op je systeem? :?

Wat is een .exe? :?
grep '*.exe' /usr/share/mime/globs
application/x-executable:*.exe
application/x-ms-dos-executable:*.exe
Never mind, gevonden. :Y)

iedere processorfamilie zijn eigen variant op opcode spreekt
'Machinetaal' lijkt me een betere term dan 'opcode', opcode is immers geen taal.

...iedere processorfamilie zijn eigen (variant van) machinecode spreekt...

Een opcode is het deel van een instructie dat beschrijft wat er gedaan moet worden, de rest van de instructie bevat doorgaans data waar iets mee gedaan moet worden (bijvoorbeeld een adres of literal). Zoals je referentie in de Wikipedia ook aangeeft.

Machinetaal is ook geen goede term.
Machinetaal bestaat uit opcode met 0 of meer operanden. Zo is:
10110000 01111011 machine code het betekent
MOV AL, 123 of te wel stop het getal 123 in register AL.
de opcode is 10110000 (mocht er iemand overvallen: ik vind het ook goed als je zegt day 10110 de opcode is en 000 verwijst naar register AL)

microcode zijn de stapjes die processor maakt van deze ene regel machinetaal. Voordeel van deze ministapjes zijn legio. Door kleinere stapjes kan de kloksnelheid omhoog, bijvoorbeeld. Chipbakkers die een x86 processor willen maken, zoals AMD en Intel ( en VIA ), proberen allemaal een processor te maken die met 10110000 01111011 het zelfde doet. De interne ministapjes kunnen heel anders zijn. Zo kun je
10110000 01111011 MOV AL, 123
10110100 01111011 MOV AH, 123
intern opvatten als 2 verschillende operaties met 1 operand ( 2 verschillende opcodes dus verschillende microcode) of als 1 functie met 2 operanden (dus een opcode korter dan 1 byte). Het eerste kost meer chipoppervlak, de tweede een verdere splitsing van de opcodes, dus meer druk op de prefetcher.
Intel en AMD zijn zeer voorzichtig in het naar buitenbrengen van info over de micro-ops. Een beter ontwerp van je micro-ops zorgt ervoor dat je processor harder wil lopen, zorgt ervoor dat micro-ops er op een efficientere manier gescheduled kunnen worden. En is dus een manier om je te onderscheiden van de ander.
«  1  2  »

Op dit item kan niet meer gereageerd worden.

Volgende 16:42 Pluto, porno en VS voeren Wikipedia's eigen zeitgeist aan
Vorige 16:06 TomTom stijgt naar tweede plek in VS
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011