Onderzoekers omzeilen beveiligingsmechanismes Vista

Onderzoekers hebben een nieuwe methode ontwikkeld om via een browser code te starten waarbij beveiligingsmechanismes van Windows Vista worden omzeild. Experts spreken over een bijzondere ontdekking met mogelijk grote gevolgen.

De nieuwe methode is ontdekt door Mark Dowd, werkzaam bij IBM Internet Security Systems, en Alexander Sotirov van Vmware, en is gepresenteerd op de Black Hat-bijeenkomst van deze week. De werkwijze, die in een pdf-document staat beschreven, maakt geen gebruik van bekende exploits in Windows of de browser, maar weet onder andere Vista's beveiligings­mechanismes Aslr en DEP te omzeilen.

De onderzoekers kunnen naar eigen zeggen code uitvoeren vanaf elke gewenste geheugenlocatie door gebruik te maken van de active scripting-mogelijkheden van Internet Explorer, waarbij onder andere Activex, Java en .Net-objecten als springlading ingezet kunnen worden. De toegepaste technieken – waaronder stack spraying, het misbruiken van het permissiesysteem in Java en het aanroepen van 'beveiligde' geheugenadressen via .Net-objecten – zouden volgens de auteurs echter ook zijn toe te passen via andere browsers.

Hoewel de geschetste methode op het eerste oog lijkt op een standaardaanval via een webbrowser door een al dan niet bekende exploit te benutten, stellen beveiligingsonderzoekers dat deze low-level aanvalsmethode nieuwe inzichten geeft in hoe malware vanuit de browser gelanceerd kan worden en daardoor in potentie zeer gevaarlijk is. Bovendien zou Microsoft weinig kunnen doen aan het onschadelijk maken van de hackmethode, omdat het technieken als Aslr en DEP – die Vista tot het veiligste OS van de softwaregigant zouden maken, zo werd bij de lancering beloofd – eenvoudig weet te omzeilen.

Dino Dai Zovi, een bekend veiligheidsexpert, laat aan Neowin weten: "Het geniepige van deze aanval is dat hij steeds opnieuw is te gebruiken. Zij kunnen aanvallen uitvoeren vanaf elke geheugenlocatie met zelfgekozen rechten. Dat betekent game over." Dai Zovi, verbonden aan SearchSecurity.com, stelt dat Microsoft een aanval als deze niet had zien aankomen. Zo laat de softwaregigant toe dat .Net-code aanverwante dll-bibliotheken vanuit de browser mag inladen en benaderen, in de veronderstelling dat dergelijke .Net-objecten veilig zijn.

Microsoft heeft nog niet officieel gereageerd op de bevindingen, maar een medewerker van het Microsoft Security Response Center heeft laten weten dat het bedrijf op de hoogte is van het bestaan van het onderzoek en dat het de bevindingen van de twee onderzoekers nader gaat bestuderen. Onbekend is nog of Windows XP en Windows Server 2003 gevoelig zijn voor de aanval, maar volgens sommige beveilingsonderzoekers is de methode vrij eenvoudig op andere platformen en besturingssystemen in te zetten.