Hoofdcategorieën

[RSS] Index » Nieuws » Pro » Software » Werkpleksoftware » Windows 7-kwetsbaarheid volgens onderzoekers niet te repareren

Windows 7-kwetsbaarheid volgens onderzoekers niet te repareren

Door Olaf van Miltenburg, vrijdag 24 april 2009 13:44, views: 53.735

Beveiligingsonderzoekers hebben een lek in Windows 7 gevonden dat kan worden gebruikt om een systeem met dit besturingssysteem over te nemen. De kwetsbaarheid zou niet door Microsoft verholpen kunnen worden.

Beveiligingexperts Vipin en Nitin Kumar demonstreerden een proof-of-concept van de exploit tijdens The Box Security Conference in Dubai, schrijft Networkworld. Ze lieten zien hoe ze met de door hun geschreven code, VBootkit 2.0 genaamd, een virtuele Windows 7-machine tijdens het booten konden overnemen. "Repareren kan niet, het is een ontwerpfout", beweerde Vipin Kumar. VBootkit 2.0 zou gebruikmaken van het feit dat de Windows 7-ontwerpers ervan zijn uitgegaan dat Windows 7 tijdens de bootprocedure niet voor een aanval vatbaar is.

Dat uitgangspunt klopt gedeeltelijk en de impact van de exploit is daarom beperkt: een aanvaller moet namelijk fysiek toegang hebben tot de machine die hij wil overnemen, en na een reboot verliest hij de controle over het systeem. VBootkit 2.0 wijzigt de Windows 7-bestanden die tijdens het booten in het systeemgeheugen geladen worden; de code laat de bestanden op de harde schijf echter met rust. Hoewel de data in het systeemgeheugen bij een reboot wordt verwijderd, betekent het feit dat VBoot hier plaatsneemt ook dat de code moeilijk te detecteren is.

VBoot stelt een aanvaller na een geslaagde overname in staat om het systeem op afstand te beheren, zich meer rechten toe te kennen en een gebruikerswachtwoord te verwijderen. De code kan er ook voor zorgen dat het wachtwoord na een reboot weer hersteld wordt, zodat de hack moeilijk te detecteren is. De beveiligingsonderzoekers toonden overigens al in 2007 tijdens de Europese Black Hat-conferentie een vroege versie van VBoot, die Windows Vista-systemen kon overnemen.

Volgende 14:06
Vorige 12:40

Gerelateerde content

Gerelateerde jobs

Reacties

Flat modeFlat mode Sorteer aflopendSorteer aflopend Moderatie FAQModfaq
Niveaufilter: -1 Ongewenst: 178 reacties zichtbaar1780 Off-topic / Irrelevant: 161 reacties zichtbaar161+1 On-topic: 54 reacties zichtbaar54+2 Informatief: 18 reacties zichtbaar18+3 Must-read: 0 reacties zichtbaar0
«  1  2  3  4  5  6  7  »

Door Stewie!, vrijdag 24 april 2009 13:46

Score: 1
Met fysieke toegang is vrijwel elk systeem over te nemen.

Door roy-t, vrijdag 24 april 2009 13:52

Score: 2
Inderdaad, dan pak je toch gewoon je repairdisk reset je het adminwachtwoord en log je gewoon in, wat een onzin hack en heerlijk overdreven kop, ik snap sowieso niet waarom MS nu weer in zo'n kwaad daglicht gezet moet worden voor zo'n onhandige, onlogische neppe hack.

Edit: sterker nog, om deze hack te doen moet je ook nog het bios wachtwoord weten: of de pc moet ingesteld staan dat hij kan booten van cd of usb stick. Een normaal ingestelde publieke pc staat zo ingesteld dat hij alleen vanaf de hardeschijf kan booten en zul je dus tenzij je het bios wachtwoord weet never nooit deze hack kunnen uitvoeren, wat de waarde van de hack nog minder (eigenlijk 0) maakt.

Lekkere heisa!

[Reactie gewijzigd door roy-t op vrijdag 24 april 2009 13:58]

Door tes_shavon, vrijdag 24 april 2009 14:09

Score: 1
toch wil ik mijn volgende gedachte niet negeren:

De hack is gedemonstreerd met een virtuele installatie van WIndows7. In hoevere zijn de andere OS-en hier vatbaar voor (server 2008) want dan zou ik met toegang tot de hypervisor deze exploit altijd kunnen uitvoeren op alle virtuele servers op de fysieke server...

ik zie wel mogelijkheden...

Door johnkeates, vrijdag 24 april 2009 14:13

Score: 0
Bovendien stellen BIOS-wachtwoorden ook niet erg veel voor..

Door TRRoads, vrijdag 24 april 2009 14:27

Score: 2
Hoezo stellen BIOS-wachtwoorden niet veel voor? Jij hebt een magische manier om er omheen te komen?

Buiten een BIOS reset waardoor je fysiek toegang moet hebben niet alleen tot de PC maar zelfs tot de binnenkant van de PC. Het lijkt me toch enigsinds opvallen als je een PC open staat te schroeven.

En als je dan toch de PC open schroeft kun je ook direct bij de HDD, daar heb je dan meestal veel meer aan.

Er bestaat geen veilig OS als de aanvaller fysiek toegang heeft tot de hardware en dat zal er ook nooit komen.

Door Rizon, vrijdag 24 april 2009 14:36

Score: 0
De meeste BIOS hebben ook een master password ingebouwd. Dus gewoon even in de lijstjes zoeken die online te vinden zijn en je hebt de user zijn wachtwoord voor BIOS niet nodig.

En past ook terug in het scenario waarbij er geen spoor nablijft aangezien je na het booten naar windows met software gewoon de boot volgorde terugzet.

Door Rinzwind, vrijdag 24 april 2009 15:39

Score: 0
Ik kan anders niet meer in mijn bios van de laptop (ja stom). Dat heet stringent security oid wat ik inderdaad aan heb gezet... Heb genoeg gezocht om te weten dat het echt jammer maar helaas is (of nieuw moederbord).

[Reactie gewijzigd door Rinzwind op vrijdag 24 april 2009 15:39]

Door Exorcist, vrijdag 24 april 2009 16:03

Score: 1
Ook zoiets valt meestal op te lossen door het batterijtje los te koppelen, al is dat bij een laptop vaak net iets lastiger.

Door Xenan, vrijdag 24 april 2009 16:06

Score: 1
Nier als er een TPM chip op zit. Die BIOSsen zijn zeer moeilijk kraakbaar. Je kunt wel instructies vinden op Internet maar daar zit altijd solderen bij.

Door Balachmar, zaterdag 25 april 2009 12:21

Score: 0
@Xenan
Nou, heel erg handig dan zo'n TPM chip...
Voor een thuis computer heb ik liever iets wat altijd nog terug te zetten is. Dat het voor servers ofzo handig kan zijn ok, maar niet meer in de bios van je laptop kunnen komen, kan er vervelend zijn.

foutje met replyen...

[Reactie gewijzigd door Balachmar op zaterdag 25 april 2009 12:22]

Door JoJo_nl, zondag 26 april 2009 03:56

Score: 0
dat is niet helemaal waar... je kan ze uitlezen met een xbox eeprom lezer zonder solderen of pin 6 en7 kortsluiten van de eeprom.. het enige nadeel is dat je sommige uit elkaar moet schroeven.

Door Rinzwind, vrijdag 24 april 2009 16:08

Score: 0
Den kje dat ik dat niet geprobeerd heb... Dat is het eerste waar je aan denkt. En soldeerinstructies kon ik niet vinden (en begin ik ook niet aan :))

[Reactie gewijzigd door Rinzwind op vrijdag 24 april 2009 16:08]

Door rkomduur, vrijdag 24 april 2009 16:43

Score: 1
Dat werkt al een hele poos niet meer.

De meeste business laptops gebruiken een apart geheugen voor het BIOS wachtwoord dat alleen via instructies via het toetsenbord is te resetten.

Dus het bios wachtwoord zit niet in het BIOS instellingen geheugen waardoor de batterij loskoppelen niet werkt en een jumper op het moederbord niet werkt.

HP had dit systeem al in laptops zitten met een Pentium 133 er in. Oftewel jaaaaaaaaaaaaren geleden. Dat waren o.a. de Omnibook 2000 en 5700.

Door mae-t.net, zaterdag 25 april 2009 18:16

Score: 0
Dat valt nog vaak erg mee. Ik heb zelf laatst een Dell laptop onder handen gehad (samengesteld uit een aantal defecte exemplaren waar geen geschiedenis van bekend was) en daar laat zich het wachtwoord toch echt wel van resetten/kraken. Bij desktop computers en servers is dat vaak nog wat simpeler. Fysieke toegang is niet per definitie nodig.

Door daredevil__2000, vrijdag 24 april 2009 17:10

Score: 2
Masterpassword is iets ouds dat tegenwoordig bij de betere fabrikanten niet meer toegepast wordt.

Bij systemen met een TPM is het met solderen of helemaal niet meer mogelijk.

De enige manier om je systeem fatsoenlijk te beveiligen als mensen toegang hebben tot de ruimte waar jouw server staat (denk aan datacenters) is door alle alternatieve boot opties uit te schakelen. Dus geen boot van CD/DVD, USB enz toestaan.
Als het bios dan netjes dicht gezet wordt met wachtwoorden is het toch wel behoorlijk moeilijk gemaakt om even snel een systeempje te kraken zonder dat het opvalt.

Het resetten van wachtwoorden was al een behoorlijke tijd mogelijk met behulp van een linux cd.

Het beste is natuurlijk nog altijd zorgen dat maar een heel select groepje fysiek bij de servers kan of met toegangsregistratie. Dan valt toch al wat makkelijker te traceren wie de schuldige zou kunnen zijn in geval van problemen

Bij ons zijn er maar 4 mensen die fysiek bij de aparatuur kunnen komen. Aangezien de servers alleen vanaf een bepaald medium op mogen starten en de biossen gelockt zijn wordt het toch al knap moeilijk.

Door Bergen, vrijdag 24 april 2009 22:59

Score: 0
"De meeste BIOS hebben ook een master password ingebouwd."

Maak daar maar van: "Heel heel heel soms had een bepaald type moederbord in het verleden een master password ingebouwd"

Door JoJo_nl, zondag 26 april 2009 03:58

Score: 0
in de jaren 80 wel ja :+

Door goestin, maandag 27 april 2009 11:37

Score: 0
Ja dat waren mooie tijden :) toen werkte de debug truc ook nog:
debug.exe <enter>
o 70 17 <enter>
o 71 17 <enter>
q<enter>

en zo resette je ook je bios maar werk ook al niet meer sinds computers niet meer van hout zijn :)

Door TheStig, vrijdag 24 april 2009 15:04

Score: 0
Niet alleen hebben BIOS master passwords zoals Rizon al aangaf, maar kan een BIOS Password heel makkelijk "gereset" worden door de batterij van het moederbord te rukken.

Deze manier mag dan wel een uurtje kosten, maar als je al fysiek toegang tot een systeem hebt dan neem ik aan dat je ook meer dan een minuut de tijd hebt om aan je data te komen.

Kortom, als geen fysieke hardware hebt die een systeem blokkeren (kan me iets van een dongle die je in je USB moet proppen om toegang te krijgen) is het vrijwel altijd mogelijk om aan de data te komen die het systeem bevat.

Door pfismvg, vrijdag 24 april 2009 15:16

Score: 0
Deze manier mag dan wel een uurtje kosten
Dan moet jij zeker eers 55 minuten naar een schroevendraaier zoeken? meer als 5 min heb je daar echt niet voor nodig hoor. Iemand die weet wat hij doet zelfs niet meer als 2min ;)

Verder is deze "Hack" vrij nutteloos. Als je fysieke toegang heb tot de hardware, dan kom je er bijna altijd wel in..... tenzij je met deze methode ook kan inloggen op machines die beveiligd zijn met encryptie en TPM chips... dat zou idd wel knap zijn.

[Reactie gewijzigd door pfismvg op vrijdag 24 april 2009 15:22]

Door Naatan, vrijdag 24 april 2009 15:21

Score: 0
Heb jij een uur nodig om je PC open te schroeven en het batterijtje er af te rukken? Doe je toch iets fout :p

Als je fysiek toegang tot een systeem hebt kun je ook doodleuk een linux live cd in de tray gooien, booten en vervolgens de windows partition plunderen.. beetje een kansloze hack dit.

Door Sunbeam-tech, vrijdag 24 april 2009 20:44

Score: 0
Nou het kan een uur duren als:

- Je thumb screws hebt die muur vast zitten.

- Je een schroevendraaier gaat zoeken in je niet opgeruimde werkschuur.

- Je er achter komt dat je alleen een platkop schroevendraaier hebt gevonden die niet past.

- Je vervolgens naar een bouwmarkt moet om een passende kruiskop te kopen.

- Je er achter komt dat de bouwmarkt geen koopavond heeft op Zondag.

- Je dan maar naar een vriend gaat om er één te lenen.

- Je er eindelijk één hebt en terug naar huis rijdt.

- Je de kast eindelijk open hebt

- Je eerst nog je 2e SLI videokaart moet verwijderen omdat die net voor de BIOS batterij zit.

- Je uiteindelijk de batterij er uit hebt en 5 minuten hebt gewacht en daarna de batterij er weer in doet.

Oke dit is worst case scenario maar zo kan het een uur duren :+

[Reactie gewijzigd door Sunbeam-tech op vrijdag 24 april 2009 22:53]

Door BlackOwl, zaterdag 25 april 2009 01:00

Score: 0
Dat scenario wordt nog een beetje slechter als je er vervolgens achter komt dat 5 minuten net niet lang genoeg was.

Batterijhouder kortsluiten werkt ook wat sneller dan gaan zitten wachten

Door Sybesma, vrijdag 24 april 2009 15:23

Score: 0
Niet alleen hebben BIOS master passwords zoals Rizon al aangaf, maar kan een BIOS Password heel makkelijk "gereset" worden door de batterij van het moederbord te rukken.
Een beetje bedrijf heeft een computer-kast die op slot zit.

Door arjankoole, vrijdag 24 april 2009 15:36

Score: 1
de meeste bedrijven hebben dat dus niet. De meeste bedrijven zijn geen IT bedrijven, en derhalve is alles wat IT heet overhead. Derhalve wil men er zo min mogelijk geld aan uitgeven, omdat er geen geld mee verdiend wordt.

Grotere bedrijven: ander verhaal, maar kleine bedrijfjes zijn in de meerderheid.

Door mickvdv, vrijdag 24 april 2009 16:08

Score: 0
Ok, dan neem je ook een boormachine mee...? Misschein lukt het met een schroevendraaier al:P

Door Mr_Q, vrijdag 24 april 2009 17:37

Score: 0
En ook die kun je heel eenvoudig door middel van een paperclip en wat simpel gereedschap openen, zonder hem stuk te maken.. Dat was een sport bij ons op school. :)

[Reactie gewijzigd door Mr_Q op vrijdag 24 april 2009 17:38]

Door TheStig, vrijdag 24 april 2009 18:05

Score: 0
Idd, hebben ze hier bij IBM ook op slot... echter de sleutel zit achter op de kast vast naast het slot :P

Door hedelwijs, vrijdag 24 april 2009 15:35

Score: 0
Ik weet dat ze volop bezig zijn met het ontwikkelen van versleutelingsmethodieken voor het versleutelen van harddisks en het versleutelen van al het data verkeer op het moederbord.
Er komt een tijd dat het ook met fysieke toegang tot het systeem heel erg moeilijk gaat worden.

Door the_stickie, vrijdag 24 april 2009 23:43

Score: 0
"bezig met" : lees ff over TPM en aanverwante technieken ;)

Door dutchcow, vrijdag 24 april 2009 16:16

Score: 1
Er bestaat geen veilig OS als de aanvaller fysiek toegang heeft tot de hardware en dat zal er ook nooit komen.
Jawel hoor, (hdd) encryptie. Ik wil nog wel eens voor belangerijke klanten een hdd of partitie waar b.v. mail op binnenkomt encrypten. Dan mag jij rustig langs komen in het datacentre, de colo openschroeven en die hdd meenemen, veel zul je er niet aan hebben. Er zijn ook systemen die encryptie op bios level toe kunnen passen m.a.w. die je hdd encrypten en decrypten. Veilig kan best, maar je moet het er wel voor over hebben.

Door DarkTemple, vrijdag 24 april 2009 18:10

Score: 1
Dan kan je hem net zo goed meenemen :S DAn ga je hem toch niet staan open te schroeven.

Door Glashelder, vrijdag 24 april 2009 15:05

Score: 1
Probeer maar eens het BIOS wachtwoord van een IBM Thinkpad te kraken.

Door Glashelder, vrijdag 24 april 2009 15:42

Score: 2
|:(

Denk je nou echt serieus dat ik zo'n reactie plaats en nog nooit heb uitgezocht hoe je het bios wachtwoord van een thinkpad kan kraken? Kom nou toch ..

Het punt is dat een Thinkpad een aparte chip gebruikt om het wachtwoord in op te slaan. Dit is bij sommige modellen te achterhalen maar daar komt het een en ander aan soldeerwerk bij kijken. Bij anderen is het weer helemaal niet te doen. Dus wat ik met Google moet..

[Reactie gewijzigd door Glashelder op vrijdag 24 april 2009 15:43]

Door Nightjar, vrijdag 24 april 2009 16:09

Score: 0
Helemaal mee eens! De tijd van een batterijtje loshalen of een jumpertje setten is iets van het vorige millennium.

NB Heb zelf ook een Thinkpad :)

Door Rinzwind, vrijdag 24 april 2009 16:03

Score: 1
Succes met de nieuwere biossen waar de security een stap hoger is gezet. Dat gaat je niet lukken (zie ook mijn reactie boven, betreft een HP nc6320). Spelen met accu's batterijen, hulpprogramma'tjes mag allemaal niet baten. Master passwords zijn er ook niet. Master passwords zijn sowieso bij fabrikanten uit de mode gezien het binnen de korste keren op internet staat.

Door Blah.NET, vrijdag 24 april 2009 23:21

Score: 0
Het gebeurt pas nadat het BIOS zijn werk heeft gedaan hoor, pak een trojan, doe deze exploit erin, en laat hem zich installeren bij de volgende restart.

Dan heeft de BOFH van dat systeem een hele slechte dag.

Door _JGC_, vrijdag 24 april 2009 14:15

Score: 1
Het is ook niet aan te raden om je hypervisor allerlei functies te laten doen. Een gehackte hypervisor betekent nml het einde van alle veiligheid van alle virtual machines die onder die hypervisor draaien.

Door mxcreep, vrijdag 24 april 2009 16:10

Score: 1
En dat is nou net wat Microsoft heel makkelijk maakt met Server 2008 en Hyper-V...
Geen totaal gestripte hypervisor waar verder geen services op draaien, maar een compleet OS waar van alles op draait en daarbij een hypervisor. En op deze manier is dus elke guest ook kwetsbaar. Uiteindelijk ligt de verantwoordelijkheid bij de beheerder van het systeem om een hypervisor zou kaal mogelijk te houden. In de praktijk zul je echter zien dat er veel meer gedaan wordt met zo'n machine en Microsoft support dat ook. Geef mij dan maar lekker Xenserver of VMWare...lean and mean...

Door alt-92, vrijdag 24 april 2009 18:51

Score: 0
En dat is nou net wat Microsoft heel makkelijk maakt met Server 2008 en Hyper-V...
Geen totaal gestripte hypervisor waar verder geen services op draaien, maar een compleet OS waar van alles op draait en daarbij een hypervisor.
Euh.. nee?
De Parent partition die jij bedoelt wordt gewoon een instance bovenop de hypervisor :)

Door _JGC_, vrijdag 24 april 2009 19:28

Score: 0
Met Xen kan je het een en ander ook verprutsen met veiligheid. De hypervisor zelf draait buiten alle systemen, maar daaronder draait op het hoogste niveau Dom0. De Dom0 is het hoofdsysteem die management over alle andere domains heeft. Het is zeer verleidelijk om hier allerlei services in te stoppen omdat het een complete linuxomgeving is.
Ik houd het bij de Dom0 bij een kaal systeem met als enige extras de xen management tools en een mailserver die luistert op localhost die statusreports naarbuiten kan sturen (ja, ssmtp kan evt ook, maar dat vind ik niet prettig).

Door The Van, vrijdag 24 april 2009 15:03

Score: 0
ik snap sowieso niet waarom MS nu weer in zo'n kwaad daglicht gezet moet worden
Omdat het een ontwerpfout is [zou zijn]. Security is een state-of-mind! Iets dat MS nog steeds niet in de praktijk brengt, blijkbaar.

Door Xenan, vrijdag 24 april 2009 15:49

Score: 0
Dit geld niet specifiek voor Windows 7 of Microsoft. In feit is dit oud nieuws dat weer opgepiept is.Dezelfde truuk kun je ook met andere OSsen uithalen.

Door IoorLTD, vrijdag 24 april 2009 19:51

Score: 0
Dat haal ik nou weer niet uit de tekst.....

Heb je ook een link ? Ik kan daar nl niks over vinden.

Door FireFly, zaterdag 25 april 2009 05:39

Score: 2
Zonder dat ik een link naar een artikel kan geven, kan ik je wel zeggen dat fysieke toegang tot een machine het allergrootste risico is betreft beveiliging.
(Een Linux machine kan je ook overnemen met een Live-CD bv)
Het is ook om die reden dat de (betere) datacenters de toestellen van klanten in beveiligde hokjes hebben staan. Je komt als klant alvast niet tot aan de hokjes en als dat hokje niet van jou is, kan je aan die machines ook niets meer doen.

Beveiliging is, zoals The Van zei, een state of mind. Niets is 100% veilig maar je kan 't kwaadwilligen verdomd moeilijk maken zodat de daad veel tijd nodig heeft, tijd die jij dan weer kan gebruiken om actie(s) te ondernemen.

Door kozue, vrijdag 24 april 2009 18:59

Score: 0
Een ontwerpfout? Nee hoor. Deze hack gaat er van uit dat je bootproces kan beinvloeden door fysiek bij de machine aanwezig te zijn. Alhoewel ik normaal wel kan lachen om berichten over MS en hun belabberde security, wordt ik van dit suggestieve bericht alleen maar sacherijnig. Zo ken ik er ook nog wel een paar... de init=/bin/bash boot parameter voor linux bv, instant root access...

Door bzerk, vrijdag 24 april 2009 16:50

Score: 1
Scenario: virus infecteert iPod, of ander apparaat dat DMA kan doen. Virus detecteert een systeemreboot van de PC waar hij aanhangt en zet VBoot in het geheugen.

Vergezocht? dacht het niet.

Door kozue, vrijdag 24 april 2009 19:01

Score: 0
Voor zover ik het begrijp moet je fysiek bij de machine aanwezig zijn om dit toe te kunnen passen, en kun je het niet zomaar automatiseren. Een beetje vergelijkbaar met de init= hack voor linux die ik hierboven al eens noemde, dat kun je niet automatisch doen want je moet in de bootloader extra parameters opgeven (nog voordat het OS begonnen is met laden).

Door bzerk, zaterdag 25 april 2009 11:57

Score: 0
you missed the point ;)
de iPod die ik als voorbeeld gebruikte IS fysiek aanwezig bij de machine (als in: hij hangt er aan, en heeft zijn eigen processing unit, en via dma toegang tot het geheugen)

Door BreezahBoy, vrijdag 24 april 2009 13:59

Score: 0
ik begrijp niet helemaal waarom de hacker fysieke toegang nodig heeft tot het systeem.

de kwetsbaarheid kan volgens mij prima gebruikt worden om een gehacked systeem definitief te ownen. de gebruiker van de pc, die fysieke toegang heeft tot het systeem, zal de pc heus wel een keer rebooten.

als de hacker via een conventionele wel repareerbare kwetsbaarheid zich middels een exploit al toegang verschaft heeft tot het systeem kan zij de toegang borgen door de reboot-exploit op scherp te zetten.

de reboot exploit werkt altijd. ms kan het volgens de onderzoekers niet repareren. zodoende heeft de black-hat zich dus definitief toegang tot het windows 7 systeem toegeeigend. de nietsvermoedende rebootende gebruiker in de fysieke nabijheid van de pc is gebruikt als proxy-operator in dat geval.

Door roy-t, vrijdag 24 april 2009 14:06

Score: 2
Dit klopt niet helemaal, de hack werkt alleen doordat hij in het werkgeheugen wordt geladen, de bescherming op de fysieke bestanden is nog gewoon intact, er zal dus een hack gevonden moeten worden om de windows opstart bestanden fysiek te veranderen zonder dat een virusscanner / Windows File Security dat merkt.

Door BreezahBoy, vrijdag 24 april 2009 14:56

Score: 1
dat klopt wel, maar als de hacker al toegang tot het systeem verkregen heeft dmv een gewone repareerbare kwetsbaarheid dmv een 0 day exploit oid dan kan vervolgens de niet repareerbare kwetsbaarheid gebruikt worden als fall-back om de windows 7 machine definitief te ownen.

Door OddesE, vrijdag 24 april 2009 16:01

Score: 2
Hier is het punt: Om in het geheugen geladen te worden moet de code de reboot overleven... en dat kan niet in het geheugen. De traditionele exploit code zal dus de betreffende systeembestanden *op disk* moeten overschrijven om deze na de reboot geladen te krijgen. Maar daar wringt de schoen want die bestanden op disk worden gemonitord en als je die overschrijft dan detecteert Windows dat wel.

Je zal dus je de bestanden naar een niet gemonitorde (usb/cd-rom) schijf moeten schrijven en dan vanaf die device booten. Maar daarvoor moet je weer (vaak) de BIOS instellingen aanpassen.. waarvoor je weer moet rebooten!

Al met al lijkt me het nog niet zo eenvoudig om de boot explot te 'installeren' vanuit code om zo de machine definitief over te nemen.

Door DataGhost, vrijdag 24 april 2009 16:39

Score: 1
Maar daar wringt de schoen want die bestanden op disk worden gemonitord en als je die overschrijft dan detecteert Windows dat wel.
En toen schakelde je de code die daarvoor verantwoordelijk is uit, zowel in het geheugen als op de schijf. Kan je lekker alle bestanden die je wilt wijzigen en geen haan die er naar kraait.

Door Ngamer, vrijdag 24 april 2009 22:06

Score: 2
Alleen jammer dat Windows het nog steeds detecteert dat die code uitgeschakeld wordt, denk niet dat het zo simpel werkt.

Door Reteip, vrijdag 24 april 2009 14:09

Score: 1
Inderdaad. Met zulke fysieke toegang kan ik nog wel meer bedenken :S! Dan levert MS zijn eigen exploit al mee op DVD! Even booten van de Windows 7 installatie DVD, formatteren, herinstallatie, en ja hoor ik heb controle over het systeem :o

Tuurlijk kan de 'hacker' met de 'kwetsbaarheid' via de methode in het artikel nog wat extra dingen ten opzichte van een herinstallatie, maargoed zoals de vergelijking slaat deze exploit nog kant nog wal, en da's nou net het punt ;).

Door DataGhost, vrijdag 24 april 2009 16:41

Score: 1
Jij hebt het volgens mij over andere controle over een systeem. Je hebt meestal geen zak aan een vers geinstalleerde machine, dat kan je thuis ook wel doen. Doorgaans gaat het bij dit soort zaken niet specifiek om toegang tot de machine maar om toegang tot de data.
Verder kan je het opstarten van alternatieve media beperken in het BIOS, wat vervolgens weer van een wachtwoord voorzien kan worden.

Door Roit, vrijdag 24 april 2009 15:06

Score: 0
Maar doorgaans niet op elk tijdstip. En dat is na een eenmalige toegang wel het geval.

Door jmzeeman, zaterdag 25 april 2009 09:50

Score: 2
Ik heb net ook een nieuwe kwetsbaarheid van windows-7 gevonden dat gebruikt kan worden om een windows-7 systeem permanent! onbruikbaar te maken. Ook deze kwestbaarheid kan niet door Microsoft verholpen worden.

Wanneer er op enig moment met een moker net zolang op de pc wordt ingeslagen dat er ergens kortsluiting ontstaat of er een vitaal onderdeel van het moederbord wordt geraakt zal windows-7 niet meer werken. Dit probleem kan niet gerepareerd worden omdat er een design fout in windows zit die er van uit gaat dat er niet iemand met een moker op het systeem staat in te slaan. Windows 7 zou ook kwetsbaar zijn voor explosieven en knuppels. Er zijn zelfs georganiseerde groepen hackers (of zijn het script kiddies) die van deze kwetsbaarheid misbruik maken. bron

Onderzoekers zijn nog steeds op zoek naar een manier om PC's die door deze kwetsbaarheid onklaar zijn gemaakt weer bruikbaar te maken. bron

[Reactie gewijzigd door jmzeeman op zaterdag 25 april 2009 23:49]

Door el frikandel, vrijdag 24 april 2009 13:46

Score: 0
Kan me niet voorstellen dat dit niet te fixen is.

Door Psilax, vrijdag 24 april 2009 13:49

Score: 0
Het is een ontwerp probleem, dat voorlopig enkel fysiek uit te buiten is via een soort virtualisatie techniek. Het probleem zal niet voor SP1 te fixen zijn waarschijnlijk.

Ik zie het nog niet zo snel als virus of worm verschijnen, maar wie weet zo zijn er al genoeg dingen geweest die eerst enkel fysiek te doen waren maar die plots na een andere bug toch via afstand kon worden misbruikt.

Door Jack_NL, vrijdag 24 april 2009 15:19

Score: 0
Ik begreep dat de hack de system-files op de HDD in tact laat, maar bij het inladen in het geheugen de code wijzigd.
Dan is het toch simpel te fixen (of op zn minst een simpele work-around) om na het inladen van elke system-file even een soort CRC-check uit te voeren over de ingeladen code en dat te vergelijken met de daadwerkelijke code van de betreffende system-files ?


[edit:]
ik geloof niet zo in 'onherstelbaar', net zo min als in 'niet te hacken' systemen.

[Reactie gewijzigd door Jack_NL op vrijdag 24 april 2009 15:21]

Door orange.x, vrijdag 24 april 2009 15:47

Score: 0
Geinige laatste zin daar. Want ze spreken elkaar namelijk nogal tegen.

Onherstelbaar bedoel je natuurlijk dit hele verhaal mee en dat het eventueel niet te omzijlen is zoals je zelf aangeeft dmv een check oid. Vervolgens zeg je dat je net zo min gelooft in "niet te hacken" systemen, wat dus eigenlijk niet kan. Het ene sluit het andere namelijk uit en er is dus geen mogelijkheid dat ze beide bestaan.

Als er dus een manier gevonden is om die check uit te voeren op de inhoud van dat bestand is er dus ook een mogelijkheid om die check weer te veranderen waardoor deze wel als valid bestempt wordt zonder dat dat het geval hoeft te zijn.

Anders gezegd: je gelooft dus dat Microsoft het wel kan herstellen door een check in te bouwen, en daarna zeg je dat "niet te hacken" systemen niet bestaan, ofwel dat de herstelde fout ook weer te omzeilen is. Maar dan klopt het dus niet :P

Maar dat terzijde :D Heeheh

Door OddesE, vrijdag 24 april 2009 16:09

Score: 2
Het ene sluit het andere namelijk uit en er is dus geen mogelijkheid dat ze beide bestaan.
Om iets te kunnen herstellen moet het eerst kapot zijn toch? En ik neem aan dat je een te hacken systeem als kapot beschouwt?

Zijn uitspraken bevestigen elkaar dus juist in mijn optiek: Omdat er geen niet te hacken systemen bestaan blijf je altijd aan het herstellen. Elke individuele fout is te herstellen maar het systeem als geheel blijft altijd hackbaar is omdat het nooit volkomen volmaakt wordt. Zoals een parabool die eeuwig stijler daalt maar nooit volledig verticaal wordt.

_-_
/ . . . \
| . . . . | <--- **

** dalende lijn wordt nooit verticaal maar geeft voor elke hogere x steeds een waarde die dichter bij verticaal ligt.

Door Jack_NL, vrijdag 24 april 2009 16:17

Score: 1
Wat ik bedoel met 'niet onherstelbaar' is dat ik denk dat Microsoft heus wel een manier kan vinden om deze 'denk fout' te herstellen.

Dat Microsoft in staat is om deze fout te herstellen sluit natuurlijk niet uit dat er wel weer een andere hack gevonden wordt (systeem is dus nog steeds hackbaar, maar dan niet meer op die specifieke manier)

wat ik bedoel met dat 'niet te hacken' niet bestaat, is dat elk system te hacken valt.
Dit sluit natuurlijk niet uit, dat als er een hack gevonden wordt, dit niet gefixed kan worden. (nieuw gevonden hacks kunnen gewoon weer gefixed worden, systeem blijft dus herstelbaar)

Zolang een systeem te hacken is, is dit systeem ook te repareren tegen de gevonden hacks en vervolgens is het systeem weer op een andere manier te hacken (en te repareren)
ze sluiten elkaar dus uit ;)

Door orange.x, vrijdag 24 april 2009 16:48

Score: 0
I stand corrected :)

Ja, het kan aan mij liggen dat ik soms dingen wat anders lees hoor haha :) Maar zoals cerietke ook al zegt klinkt het wat logischer. Maar iets dat gemaakt wordt, beveiligd dus, kan ook altijd gekraakt worden wat weer te beveiligen is wat weer te kraken is etc etc.

Is dan alleen een machine zonder een gebruiker onhackbaar? Als in geen admin, geen root admin geen system admin etc? Klinkt aannemelijk.

Door danielsrje, vrijdag 24 april 2009 18:11

Score: 0
Een onkraakbaar systeem laat geen enkele input van buitenaf toe. Je kunt 'm dan zeg maar in beton gieten. Maar makkelijker is om 'm gewoon uit te zetten c.q. het raam uit te kieperen, want je hebt er dan ook geen zak meer aan :+

Door cerietke, vrijdag 24 april 2009 16:19

Score: 1
Het is meer een soort natuurlijk evenwicht lijkt me, aan de ene kant kant heb je een partij die gaten probeert te dichten en aan de andere kant een partij die gaten probeert te schieten. Hoe lek het systeem op een gegeven moment is, is afhankelijk van hoe succesvol de twee partijen zijn.

Om terug te komen op de uitspraak, "onherstelbaar" hierin slaat op 1 gat specifiek, namelijk op het in de nieuwspost beschreven probleem en dat gat zal vast een keer dicht gemaakt kunnen worden door de gaten dichters. Aan de andere kant blijven de gaten schieters aan het werk, dus het systeem zal wel hackbaar zijn (of tenminste weer worden) door andere (nieuwere) gaten.

De uitspraak "ik geloof niet zo in 'onherstelbaar', net zo min als in 'niet te hacken' systemen." spreekt zichzelf dus niet tegen omdat het eerste gaat over 1 gat specifiek, dat te dichten is, en het tweede over alle mogelijke gaten, niet noodzakelijk gelijk aan de herstelbare eerste.

[Reactie gewijzigd door cerietke op vrijdag 24 april 2009 16:20]

Door Wim-Bart, vrijdag 24 april 2009 21:15

Score: 0
Ik vraag me af of dit een ontwerp probleem is. Wanneer ik een eigen bootloader maak (wat dit in feite ook is) kan ik ieder OS in theorie hacken.

Door wildhagen, vrijdag 24 april 2009 13:46

Score: 1
Dat uitgangspunt klopt gedeeltelijk en de impact van de exploit is daarom beperkt: een aanvaller moet namelijk fysiek toegang hebben tot de machine die hij wil overnemen, en na een reboot verliest hij de controle over het systeem.
In andere woorden: dit is gewoon een theoretisch gevaar, in de praktijk zal het allemaal wel loslopen, en in het ergste geval volstaat een reboot om het "probleem" op te lossen.

Lijkt me in de praktijk dus niet echt een heel erg groot probleem allemaal.

Door AndrewF, vrijdag 24 april 2009 13:49

Score: 0
Tja, met fysieke acces zijn alle publieke pc's in gevaar. Op school, in de bibliotheek, etc..
Ken je het paswoord niet? Gewoon zo een VBootkit cd'tje erin en je bent vertrokken.

Kan je na de boot ook een nieuwe user aanmaken en/of een rootkit/keylogger installeren? Want dan wordt dit best wel gevaarlijk.

[Reactie gewijzigd door AndrewF op vrijdag 24 april 2009 13:51]

Door roy-t, vrijdag 24 april 2009 13:57

Score: 0
tbh, ooit een publieke pc gezien waar je uberhaupt kunt booten van cd of usb stick, of dat je het bios wachtwoord weet.

Door tostyijzer, vrijdag 24 april 2009 14:13

Score: 0
De meeste publieke pc's loggen in op een centrale server. Je hebt er in dat geval dus niks aan als je een nieuw lokale gebruiker aan kan maken.

Zelfs als je dan een rootkit/keylogger installeert loopt het systeem nog weinig gevaar, omdat ook de programma's die de computer gebruikt worden geladen vanaf de centrale server. De keylogger krijgt dus niet de kans om op te starten.

Door SoaDmaggot, vrijdag 24 april 2009 13:50

Score: 1
en in het ergste geval volstaat een reboot om het "probleem" op te lossen.
Als een aanvaller eenmaal toegang tot de PC heeft zal deze meer rechten kunnen toekennen aan zichzelf en dus ook het systeem verder infecteren met rootkit X.

De toegang zal misschien 'vervallen' na een reboot, echter lijkt het me sterk dat de aanvaller (wanneer deze toegang heeft verschaft op bovenstaande manier) niet een of andere backdoor in kan bouwen (remote desktop toegang opengooien bijvoorbeeld?).
Een reboot gaat dan niet meer helpen en vanaf dat punt kan hij zich zonder meer toegang verschaffen tot de PC.

Voorbeeld: laptops op school. Herstart de laptop van Jantje, gooi de bootkit erop, pas het systeem aan zodat je remote access kan krijgen en hoppa je bent binnen. Na een reboot is die bootkit inderdaad nutteloos, maar heb je nog steeds toegang via andere aanpassingen aan het systeem..

[Reactie gewijzigd door SoaDmaggot op vrijdag 24 april 2009 13:53]

Door wildhagen, vrijdag 24 april 2009 13:56

Score: 1
Als een aanvaller eenmaal toegang tot de PC heeft zal deze meer rechten kunnen toekennen aan zichzelf en dus ook het systeem verder infecteren met rootkit X.
True, maar dat is weer grotendeels te voorkomen door een combinatie van virusscanners op de PC"s, GPO's die de boel dichttimmeren, het niet gebruiken van local accounts, en firewalls op het bedrijfsnetwerk.

Ik vind dit eerlijk gezegd een beetje gezocht probleem. Iemand die fysiek toegang heeft tot een systeem kan altijd al het nodige doen, maar een beetje bedrijf zorgt ervoor dat wildvreemden niet zomaar fysieke toegang tot je systemen kunnen verkrijgen.

Door SoaDmaggot, vrijdag 24 april 2009 14:19

Score: 0
Ik zie niet in waar jij vandaan haalt dat het hier puur om bedrijven gaat?

Door wildhagen, vrijdag 24 april 2009 14:23

Score: 1
Zoals in het artikel te lezen is gaat het over virtuele computers. Het merendeel daarvan word zakelijk gebruikt.

De meeste mensen (thuisgebruikers bedoel ik dan) weten niet eens wat virtualisatie is, en zullen dat dus ook niet gebruiken (VirtualBox, VirtualPC, VMware etc). En de thuisgebruikers die het wel gebruiken zijn meestal wel wat deskundiger.

Om bij een PC van een thuisgebruiker te komen zal iemand moeten inbreken of insluipen in de woning, om fysiek bij de machine te komen. Bij een inbraak heeft de bewoner meestal wel andere problemen dan zijn PC.

Door webkiller71, vrijdag 24 april 2009 14:33

Score: 0
Volgens mij is het gedemonstreerd op een virtuele windows, maar er wordt niet gezegd dat het beperkt is tot virtuele systemen.

Door IoorLTD, vrijdag 24 april 2009 19:58

Score: 0
nu nog niet, maar wireless USB mischien?

Ik bedoel, fysiek bij een pc staan is tegenwoordig al een ruim begrip.

Door pizzaislekker, vrijdag 24 april 2009 13:46

Score: 0
een aanvaller moet namelijk fysiek toegang hebben tot de machine die hij wil overnemen, en na een reboot verliest hij de controle over het systeem.

Voor de huis-tuin-en-keuken gebruiker valt deze exploit dus behoorlijk mee. Geen reden om gelijk in paniek te raken.

Door Ge Someone, vrijdag 24 april 2009 14:00

Score: 0
Nu nog niet. Tot men iets maakt waardoor de gebruikers verleid kunnen worden iets te starten of wanneer er een andere hack gevonden wordt waardoor dit zonder fysieke aanwezigheid gedaan kan worden.

Door OverSoft, vrijdag 24 april 2009 14:57

Score: 0
Tsja, zoiets heet een Trojan en dat bestaat al jaren...
Dat heeft 0,0 met deze "hack" te maken.

Door OddesE, vrijdag 24 april 2009 16:15

Score: 0
Ik vermoed dat je i.i.g voor deze hack moot booten vanaf je eigen disk. Daarop staan dan wat eigen bestanden, die nadat ze in het geheugen zijn geladen, dan alsnog Windows normaal booten. Eenmaal in het geheugen kan de exploit code jou helpen met inloggen op het systeem, waarna je toegang tot de PC hebt.

Het probleem is dat je als aanvaller de gebruiker zover moet krijgen om te booten vanaf jouw disk i.p.v. vanaf de harddisk. Dat valt voor zover ik weet nog niet te automatiseren.

Door Bigbadkip, vrijdag 24 april 2009 13:47

Score: 0
Fysieke toegang is _altijd_ al een probleem. Desnoods neem je het ding mee als je het echt wilt hebben. En binnen bedrijven hangt het in een domein, waar je dan alsnog op zal moeten inloggen en je er dus weinig aan hebt.

Door TheLunatic, vrijdag 24 april 2009 13:47

Score: 0
Dat uitgangspunt klopt gedeeltelijk en de impact van de exploit is daarom beperkt: een aanvaller moet namelijk fysiek toegang hebben tot de machine die hij wil overnemen, en na een reboot verliest hij de controle over het systeem.
Oftewel, hij kan niet veel meer dan iemand die fysiek achter de machine zit. Blijft lastig natuurlijk, zo'n exploit, maar deze impact is wel heel minimaal imo.

[Reactie gewijzigd door TheLunatic op vrijdag 24 april 2009 13:47]

Door thijszor, vrijdag 24 april 2009 13:47

Score: 0
Kwetsbaar blijf je toch altijd, je kan je niet indekken tegen alles wat er is.
Als OS, Anti-Virus bedrijf kan je enkel oplossingen bieden voor problemen die aan het licht komen. Je van te voren indekken lijkt me onmogelijk.

Door Jeanpaul145, vrijdag 24 april 2009 13:48

Score: 0
Als dit werkelijk een ontwerpfout is kan MS 1 van 2 dingen doen:
1. De media bespelen om iedereen (daarmee bedoel ik de average windows gebruiker) ervan te overtuigen dat het lek niet zo ernstig is als wordt voorgeschoteld;
2. Een van de meest substantiele patches in haar geschiedenis maken.

Ik ben benieuwd wat er volgt.

Door The End, vrijdag 24 april 2009 14:00

Score: 1
Het hoeft geen ontwerpfout te zijn; het kan ook een ontwerpkeuze geweest zijn. Als je fysieke toegang hebt tot een machine, dan kan je ook zonder problemen een anders OS booten. Uiteindelijk lukt het dan wel om jezelf toegang te verschaffen tot het andere OS (als dat dan nog nodig is).

Door OddesE, vrijdag 24 april 2009 16:18

Score: 0
Dat is i.i.g. wel de keuze van de ontwerpers van GNU/Linux. Fysieke toegang probeert men niet softwarematig te beveiligen omdat dat onmogelijk wordt geacht. In plaats daarvan wordt je geacht fysieke maatregelen te nemen.. een deur met een slot bijvoorbeeld.

Klinkt eigenlijk best logisch :)

Door alt-92, vrijdag 24 april 2009 18:54

Score: 0
...en dat is dus ook wat Microsoft als SOP aanraadt.
Oftewel: geen verschil :)

Door KnetterGek, vrijdag 24 april 2009 14:03

Score: 1
3. Helemaal niet reageren en als er een journalist vragen stelt, antwoorden dat he tlek in theorie ene lek is maar in de praktijk niet gevaarlijk is omdat mensen de PC al gestolen moeten hebben voor deze toegang en dan bovendien dat het alleen maar werkt zolang de pc niet herstart wordt.

Dat klopt weliswaar niet 100% maar goed, dat deze hack paniek moet veroorzaken klopt ook niet dus het heft elkaar wel op. Laat het maar aan MS over om marketingtechnisch een goeie tactiek te bedenken hiervoor :+

Door BramT, vrijdag 24 april 2009 14:04

Score: 0
Lees even de reacties van je medetweakers boven en beneden je. Vrijwel unaniem komen we tot de conclusie dat dit een storm in een glas water is.

Hier is geen "media bespelen" van microsoft aan te pas gekomen. Wat een stemmingmakerij weer....

Door BramSd, vrijdag 24 april 2009 14:32

Score: 0
Dat zegt hij ook niet. Hij zegt dat MS ofwel zijn best kan doen om de wereld te laten zien dat het probleem geen probleem is, ofwel een gigantonorme patch uitbrengen om de boel te fixen.

Met 'de media bespelen' wordt dus geduid op een actie die MS nú kan ondernemen; niet iets dat ze al gedaan hebben.

Door watercoolertje, vrijdag 24 april 2009 14:05

Score: 1
Uhm lijkt me dat dit truucje op alles toepasbaar is waarin een bios of een soort bootloader zit... je zit dan namelijk NOG niet in het OS dus hoe kan het OS daar verder iets tegen doen :)

Door Gert, vrijdag 24 april 2009 13:48

Score: 1
Met een boot cd kan je ook zo'n beetje elk systeem overnemen, het houdt een keer op.

Door Kaalaamaazoo, vrijdag 24 april 2009 13:48

Score: 0
..niet te repareren.. Als je het echt wil kan je het altijd repareren toch. Dan kunnen wellicht de geplande releasedata niet gehaald worden, maar in principe is niets niet te repareren toch. Wel grappig, dat de ontwerpers er vanuit gaan dat een systeem tijdens de boot niet kwetsbaar is, je zou denken dat ze toch alle mogelijkheden van een aanval meenemen in een ontwerp.

Door the_shadow, vrijdag 24 april 2009 14:22

Score: 0
Het gaat om een hack die fysieke toegang tot het systeem nodig heeft om iets in het geheugen te laden wat vervolgens in het geheugen blijft. Als ik fysieke toegang tot een willekeurig systeem heb, hetzij een Windows bak, hetzij Linux, en noem er nog maar een paar, dan heb ik alle mogelijkheden om allerhande vervelende dingen uit te voeren. Het is dus niet Windows 7 specifiek. Tenzij Windows 7 klakkeloos alles wat er op USB- en DVD media staat gaat lezen en uitvoeren tijdens het booten, kan ik me niet voorstellen dat dit echt een probleem gaat worden. Wat door meerdere mensen al gezegd is: een andere boot CD zal voor andere OSen hetzelfde effect hebben.
«  1  2  3  4  5  6  7  »

Op dit item kan niet meer gereageerd worden.

Volgende 14:06
Vorige 12:40
VNU Media logo Powered by True

© 1998 - 2009 Tweakers.net - Alle rechten voorbehouden - Uw Privacy - Algemene Voorwaarden

Uitgever van: