Vista 'gehackt' tijdens Blackhat

Terwijl Microsoft tijdens de Blackhat 2006-conferentie een presentatie hield over de veiligheidsmaatregelen in het nieuwe besturingssysteem, demonstreerde een Poolse onderzoekster in een andere zaal hoe enkele veiligheidsmaatregelen van Vista omzeild kunnen worden. Joanna Rutkowska, werkzaam voor het Singaporese bedrijf Coseinc, liet zien hoe het dankzij virtualisatietechnieken mogelijk is om kwaadaardige programmacode onzichtbaar te laten functioneren onder Vista, waarmee in feite de eerste rootkit voor Vista is getoond. De onderzoekster heeft haar malware de naam 'Blue Pill' gegeven.

Tijdens de Blackhat-conferentie deelde Microsoft cd's uit met bètaversies van het nieuwe besturingssysteem, zodat de hackers de veiligheidsmaatregelen die Microsoft heeft ingebouwd kunnen testen. Het bedrijf is nu dan ook bezig om te onderzoeken hoe veiligheidsproblemen zoals gedemonstreerd door Rutkowska kunnen worden verholpen. 'We werken samen met onze hardwarepartners om te onderzoeken hoe we de virtualisatieaanval die gebruikt wordt door Blue Pill kunnen voorkomen', aldus een woordvoerder van het bedrijf.

De aanval die Rutkowska heeft bedacht, omzeilt het systeem van Vista dat moet voorkomen dat ongecertificeerde drivers op de 64bit-versie van het besturingssysteem kunnen worden geïnstalleerd. Aangezien drivers op een vrij laag niveau van het besturingssysteem werken, hebben ze vrijwel onbeperkte toegang tot alle delen van het besturingssysteem en is dit dus een serieus veiligheidsrisico. 'Het feit dat het beschermingsmechanisme is omzeild, betekent niet dat Vista volledig onveilig is', aldus Rutkowska. 'Het is erg complex om een 100 procent veilige kernelprotectie te ontwikkelen', zo voegt de veiligheidsonderzoekster toe. Overigens werkt de exploit die ze ontwikkeld heeft alleen op Vista-installaties op AMD-systemen, aangezien Blue Pill gebruikmaakt van de virtualisatietechnologie Pacifica die is ingebouwd in AMD-processors. Ze denkt echter dat de exploit ook mogelijk is op Intel-systemen en ontkent elke verdenking dat ze door Intel wordt gesponsord, zoals sommige mensen beweren.

Rutkowska had wel kritiek op de User Account Control-feature van Vista. Deze feature zorgt ervoor dat gebruikers met beperkte gebruikersrechten kunnen werken, en expliciet toestemming moeten geven om veranderingen op systeemniveau door te voeren. Om haar exploit te laten werken is het noodzakelijk dat de gebruiker toestemming geeft voor zo'n verandering. Op een vraag uit het publiek hoe ze dit omzeilde antwoorde Rutkowska dat ze gewoon op 'accept' heeft geklikt. Volgens Rutkowska zullen veel gebruikers dit ook doen omdat Vista erg veel veiligheidsmeldingen geeft, waardoor gebruikers niet meer realiseren waar ze toestemming voor geven. Microsoft claimt dat Vista de meest veilige Windows-versie ooit zal worden.

Reacties (87)

[Remond_FRL]

en ze slaat gelijk de spijker op zijn/haar kop

''Rutkowska dat ze gewoon op 'accept' heeft geklikt. Volgens Rutkowska zullen veel gebruikers dit ook doen omdat Vista erg veel veiligheidsmeldingen geeft, waardoor gebruikers niet meer realiseren waar ze toestemming voor geven.''

je kan nog zoveel beveiliging inbouwen, zolang mensen niet weten hoe ze er mee om moeten gaan, werkt het niet

[Helsie]

Maar als je zo'n 'accept-vraag' krijgt, dan gaat het in elk geval niet buiten het os om. Dan kun je ook wel spyware installeren en zelf op install drukken en de veiligheidswaarschuwing negeren door gewoon 'doorgaan' te klikken.... Beetje vergezocht en ik vind het niks met hacken te maken hebben.

[Ben1985]

Maar als je zo'n 'accept-vraag' krijgt, dan gaat het in elk geval niet buiten het os om.

Inderdaad, bovendien staat de cancel knop standaard geselecteerd bij deze meldingen. Ik ben bij een presentatie van MS geweest, waar ze dit uitlegden. Namelijk veel systeembeheerders en gebruikers klikken alle meldingen zonder te kijken snel weg, door MS ook wel "clickmaster Jay" genoemd. Als de cancel knop standaard geselecteerd staat ipv de ok knop, dan worden de risico's wel kleiner, tenzij er altijd met de muis alles wordt weggeklikt.

[sirdupre]

Beetje vergezocht en ik vind het niks met hacken te maken hebben.

Nou ja, het probleem is dus dat als de gebruiker op de verkeerde accept terug, het met deze techniek wel moeilijk wordt om dat achteraf nog terug te draaien, aangezien detectie van de rootkit heel moeilijk is.

[memphis]

Het is immers de meest gebruikte methode hoe virussen en spyware op je systeem kan komen...

Klik OK om dit venster te sluiten ofwel klik OK om iets te installeren
Zie deze mooie porno screensaver van Anna Kournikova om een dwarstraat te noemen
uw machine is besmet, klik hier omeen scan uit te voeren

[Verwijderd]

edit:
reactie op memphis

Gemeengoed word het probleem vanzelf als virussen het kunnen uitbuiten. Net als je voorbeelden met ok-knoppen.

[zetje01]

De hack kwam samen met een setje drivers.
Tijdens het installeren van drivers moet er wel vaak een keer of vier op OK geklikt worden. Éen keer meer of minder valt dan echt niet op...

[Verwijderd]

Alleen een accept knop is idd niet voldoende, bij iedere installatie zou eigenlijk het wachtwoord opgegeven moeten worden net als bij OS X

Dit geeft gebruikers ook nog wel de mogelijkheid om kwaadaardige software te installeren maar zal iig nog even tot nadenken overzetten en je kunt achteraf niet zeggen dat je het niet bewust geinstalleerd hebt.

[SirBlade]

Als ze iedere keer een password moeten invoeren zullen ze hoogstens gaan proberen of de beveiliging uit te zetten of en blanco password te gaan gebruiken, Gebruikers denken niet na. De enige manier om gebruikers tegen zichzelf te beschermen is door ze geen keus meer te geven, alleen door MS gecertificeerde drivers en programma's mogen geinstalleerd worden. Maar aan die oplossing kleven weer andere bezwaren.

"You can lead a user to a decision, but you can't make him think."

[Verwijderd]

en jij denkt dat mensen dan niet aanleren ok te durwen en het wachtwoord in te rammelen? of een leeg wachtwoord nemen om niet te hoeven tikken de hele tijd?

kom op! wordt wakker, dat is toch naief!

[rtgo]

Ik vind het erg verstandig van MS dat ze de black-hatters bewust opzoeken voor de release van Vista. Dit maakt het duidelijk dat MS heel serieus bezig is met veiligheid.

Overigens klinkt dit als een exploit die na wat gesleutel met elk OS kan werken.

[kozue]

Nee, voor zover ik het begrijp werkt het alleen op OS'en die deze virtualisatie technieken ondersteunen. Op XP werkt het dus iig niet.

[TD-er]

Nee het gaat niet om het OS, maar om een functie van je processor.
Het idee is gewoon dat je je OS binnen een virtuele omgeving kunt laten draaien en dat er dus nog een andere virtuele omgeving is die hele andere dingen met je PC doet, die je niet kunt zien.
Denk aan keyloggers, Ddos-attacks, spam versturen etc.

Dus of je nu XP, of Vista, Linux of gewoon DOS draait, dat kan allemaal binnen zo'n virtualisatie en het is dan aan de hacker/cracker om te zorgen dat die virtualisatie op een zo laag mogelijk niveau van het booten gestart kan worden.

[Verwijderd]

niet waar dus ... ok het gaat er wel om dat je naast je host os iets gaat draaien wat het host os niet onder controle heeft , maar je zult wel via je host os naar dat niet-gecontroleerde stuk moet komen.. in dit geval door dus door een soort driver te installeren, waar vista dan ongelimiteerde toegang aan geeft.

[Verwijderd]

Ik denk dat ik toch maar bij Intel processoren blijf voorlopig

[Verwijderd]

Het gaat hier dus gewoon om de zoveelste exploit die gebruik maakt van de zwakste schakel in de beveiliging. Namelijk de gebruiker.
Een beetje systeembeheerder die deze "accept" knop met een paswoord heeft beveiligd voorkomt al veel onheil. Beetje het idee als een exploit voor Linux schrijven waarvoor eerst SU-rechten dienen bekomen te worden.
Je treft met dit soort grappen vooral de niet oplettende/digibeet gebruiker. Jammer genoeg maakt deze groep een erg groot deel uit van de computergebruikers.
Zelf ben ik ook reeds maanden Vista beta tester en ik moet erkennen dat ze wel een punt maakt. Vista loopt zoveel te zeiken en popups te geven met de vraag naar het admin paswoord dat mensen in een verveelde bui makkelijker gaan klikken zonder eerst te lezen wat ze precies aanvaarden. Maar dat gevoel krijg ik wel op ieder goed beveiligd systeem ongeacht het besturingssysteem.
Als ik alles bij mekaar neem is het eigenlijk veel minder "hot"dan wanneer men een lek had gevonden dat gebruikt kon worden zonder toedoen van de gebruiker.

[FrankNStein]

Ja, en nee. Ze

liet zien hoe het dankzij virtualisatietechnieken mogelijk is om kwaadaardige programmacode onzichtbaar te laten functioneren onder Vista.

Kijk, dat de gebruiker de zwakste schakel is, hoef je niet te laten zien aan hackers. Zij heeft een nieuw type rootkit gemaakt, dat zich dmv virtualisatie aan de detectie van een besturingssysteem kan ontrekken. Laatst was er een t.net articel waarin iemand hier al voor waarschuwde dat dit met Pacifica (AMD) en Vanderpool (Intel) mogelijk zou zijn.

[TD-er]

Dat artikel ging over dezelfde hackster en dezelfde blue-pill.

[Verwijderd]

Vista loopt zoveel te zeiken en popups te geven met de vraag naar het admin paswoord dat mensen in een verveelde bui makkelijker gaan klikken zonder eerst te lezen wat ze precies aanvaarden. Maar dat gevoel krijg ik wel op ieder goed beveiligd systeem ongeacht het besturingssysteem.

Maar zo erg is dat toch niet?
Misschien dat je met beta-testen erg vaak software en drivers installeert, maar normaal gesproken zul je dat toch niet iedere dag doen?
Die keren dat je het doet, moet je maar even goed lezen.
Ik neem aan dat je bij dagelijks gebruik geen popups zult krijgen... tenminste niet voor drivers en software-installaties... Firewalls zeuren vast wel, maar dat doen ze altijd en overal, dat is hun doel.

[boesOne]

Het gaat helemaal niet alleen om de social engineering..

Vista kan geen ongecertifceerde drivers laden. Rutkowska is hieromheen gekomen en kan willekeurige code draaien op XP. Dit is een veel ernstiger exploit dan met verleiden van de gebruiker om op accept te klikken..

.. spuit 11.. te laat ..

[Verwijderd]

Het is toch alleen de 64 bits versie die geen ongecertificeerde drivers kan laden ?

[Verwijderd]

het is juist heel duidelijk een geval van social engineering.

je gebruikt de ontwetendheid van de normale gebruiker om je plan tot slagen te laten lukken. of je nou een gebruiker opbelt, je voordoet als iemand anders en vraagt om een nummertje op een modem (scene uit een voor iedereen wel bekende film), of hem probeert op een knop te laten klikken, het komt op het zelfde neer. je gebruikt iemand als tussen persoon om iets aan de gang te zetten.

[Onbekend]

In de toekomst zullen er vast wel lekken gevonden worden waar geen input van de gebruiker voor is vereist.

Maar wie zegt dat ze tijdens de Blackhat netjes alle lekken hebben vermeldt en niet een paar achterwege hebben gehouden?

Misschien kent Microsoft ook nog een paar lekken waarvan geen input van de gebruiker is vereist. Maar dat zullen ze natuurlijk niet naar buiten brengen.

[Slagroom]

Op een vraag uit het publiek hoe ze dit omzeilde antwoorde Rutkowska dat ze gewoon op 'accept' heeft geklikt. Volgens Rutkowska zullen veel gebruikers dit ook doen omdat Vista erg veel veiligheidsmeldingen geeft, waardoor gebruikers niet meer realiseren waar ze toestemming voor geven. Microsoft claimt dat Vista de meest veilige Windows-versie ooit zal worden.

Dit is een hele goede! Ik heb Vista ook eventjes geïnstalleerd en het is waar wat ze zegt. Je krijgt de ene veiligheidsvraag na de andere. Hierdoor weten mensen echt niet meer wanneer ze wel of niet op "accept" moeten klikken. Totaal niet gebruikersvriendelijk en faliekant hun doel voorbij geschoten... maar ja... _{...achteraf gezien was dat te verwachten}
...spuit 11

[sds]

Ik had inderdaad na vijf van die meldingen al zoiets van "ja ja zeur, het zal wel, doe nou maar gewoon wat ik vroeg, accept!". Ze komen echt continu.

[Stevendefeij]

Je kan die dingen ook uitschakelen hoor!
Ik werd er namelijk ook niet goed van.
Nu krijg ik alleen steeds een melding dat mijn computer niet veilig is omdat de geweldige user account protection uit staat.

Open MsConfig
Click on the tools tab
Disable UAP”. Select it and click launch.
click “ok” in MsConfig.
Restart

[MadEgg]

En als je dat doet krijg je dus gewoon de hele melding niet meer; de rootkit stroomt dan zelfs zonder zo'n berichtje je computer op? Lijkt me verstandig

[Slagroom]

Zie jij dat een leek doen?

[Verwijderd]

Die moet dan geen Vista nemen, maar wat anders.

[Verwijderd]

Valt wel mee. Alleen in de eerste paar dagen wanneer je je computer aan het inrechten bent heel veel. Daarna valt het best mee.

[imqqmi]

Het enige wat microsoft nu bereikt door al die meldingen is het verleggen van de verantwoordelijkheid van microsoft naar de gebruiker zelf. Nu kan MS zeggen, ja je hebt ervoor gekozen om het te installeren, zoek het maar lekker zelf uit. Wat MS in feite doet is het probleem bij 3rd party neerleggen om het systeem echt veilig te maken dmv virus en antispyware software. Dit is bedrijfstechnisch een slimme manier om het probleem op te lossen, maar voor de gebruiker zal het niet baten ben ik bang.

[Verwijderd]

Maar hieruit blijkt dus wel dat Vista niet onveilig is maar de gebruiker te STOM om te lezen. Ze geeft namelijk toe dat de gebruiker op "JA" moet klikken om de malware code door te moeten laten.

Als je als gebruiker steeds maar lukraak loopt "ok" te klikken op elke melding dan is dat hetzelfde als bij het fouileren op Schiphol een handoek om je hoofd te hangen en je handen op je rug te binden zodat iedereen gewoon door kan.

Gelukkig gaat Microsoft wel kijken of ze iets aan het UAP kunnen doen. Het idee is goed maar zoals gezegd, je wordt er wel kriegel van.

[DarkTemple]

Werkt Zonealarm niet net zo? Ik dacht dat hierbij ook steeds gevraagd wordt of iets wel of niet toegang tot internet mag hebben. Of heb ik het mis?
Dan klikken gebruikers toch ook steeds op ja.

[Mars Warrior]

Even afgezien van de Prive/Story titelkeuze en binding met de rest van het verhaal is dit ALLANG bekend!

Deze dame geeft zelfs presentaties hierover

May 16, 2006
Presentation Title: Subverting Vista Kernel For Fun And Profit
Presentation Details:


About Joanna

Joanna Rutkowska has been involved in computer security research for several years. She has been fascinated by the internals of operating systems since she was in primary school and started learning x86 assembler on MS-DOS. Soon after she switched to Linux world, got involved with some system and kernel programming, focusing on exploit development for both Linux and Windows x86 systems.

A couple of years ago she has gotten very interested in stealth technology as used by malware and attackers to hide their malicious actions after a successful break-in. This includes various types of rootkits, network backdoors and covert channels. She now focuses on both detecting this kind of activity and on developing and testing new offensive techniques. She currently works as a security researcher for COSEINC, a Singapore based IT security company.

[Verwijderd]

Zijn de ontwikkelaars nu zo dom of zijn de hackers zo slim?

[Tukk]

-De ontwikkelaars zijn met z'n honderden (duizenden?), de hackers met 10.000+.
-De ontwikkelaars staan onder tijdsdruk, de hackers hebben alle tijd om de kleinste minescule zaakjes uit te proberen en uit te zoeken.
-De ontwikkelaars hebben te voldoen aan duizenden functionele eisen, de hackers hoeven maar 1 fout te vinden,
enz.

[Verwijderd]

Dan hadden ze de 6 jaar maar zinvol moeten benutten en niet moeten afwachten wat andere OS-bouwers aan het doen zijn.

tijdsdruk, my ass

[EnsconcE]

De verwachting van tegenwoordig is meer functionaliteit en meer veiligheid. Deze gaan onder tijdsdruk niet samen. De functionaliteit is zo toegevoegd, een beetje ontwikkelaar maakt functies waar iedereen blij van wordt maar met die functies komen ook fouten. Deze fouten worden gevonden door uitvoerig testen. Als microsoft uitvoerig zou testen en elke fout daarmee uitsluiten, dan was xp nu nog niet op de markt.

Ga maar eens na, sinds dat xp op de markt is volgt veiligheids update na exploit. Voor de ontwikkelaars van microsoft is het niet makkelijk, er staan miljoenen ogen op hun gericht, daarom zorgen ze voor een goed programma(lees draaiboek) waarmee ze toekomstige fouten kunnen verhelpen. Daarnaast zullen ze huidige ontdekte fouten in toekomstige os'en verhelpen.

Ik zou zeggen: ga ontwikkelen en gooi je uitspraak nogmaals op straat!

[Verwijderd]

De persoon boven jouw heeft waarschijnlijk nog nooit een OS gebouwd maar als je ziet hoeveel mankracht MS heeft ingezet en je dan ziet dat een hardwarebouwer als Apple 5 jaar eerder al een vista tegenhanger op de markt kan zetten dan stel ik me inderdaad ook wel vragen.

En je bent wel heel hoopvol gesteld dat 90% vista zal gebruiken. Tijden zijn veranderd. Vroeger waren het de kinderen die wat van computers kenden maar degene die de aankoop deed kende er niks van en ging gewoon voor de goedkoopste. Inmiddels zijn die kinderen groot geworden en is er eindelijk een een computerpubliek met kennis en centen dus kan ik je op een blaadje geven dat de gouden tijden waar MS nog iedereen kon VERPLICHTEN met zijn brak OS te werken voorbij zijn.

Apple begint voor het eerst in jaren marktaandeel te winnen en Linux is ook niet meer zo onbekend.

De tijd van één dominant OS is bijna verleden tijd en Vista zal daar zelf toe bijdragen.

[Verwijderd]

blue pill werk onder elk OS

[paazei]

En meneer heeft zelf zeker ook menig OS in zijn eentje gebouwd? Het is niet niks zon OS waar 90% van de wereld gebruik van gaat maken.

[Eric Oud Ammerveld]

@ oblectator

Lijkt me sterk dat Blue pill onder ELK OS werkt...

[Verwijderd]

Als je weet dat Vista uit 50mln LoC bestaat, die dan gemerged zijn achteraf... dan is het vrij logisch dat er hier en daar een gaatje te bespeuren valt.
En dit is juist goed dat er nu nog zoveel mogelijk gaten gedicht worden.

[Verwijderd]

Heeft er niets mee te zien.

Het duidt weer eens aan dat MS er niet in slaagt een deftig security model op te zetten waarna ze er dan ook niet in slagen dit zonder bugs te implementeren.

2x fout dus.

In alle software zitten bugs, en niemand kan verwachten dat zelfs MS compleet foutvrije code maakt. Maar het blijft zielig om te zien dat zelfs een bedrijf als MS vandaag de dag nog steeds software schrijft waarin binnen de kortste keren de meest idiote, grote bugs in te vinden zijn.

[teh_twisted]

ff eerlijk, voor wie kwam dit als een verassing?

[3dfx]

Niet voor mij, aangezien dit nieuws al meer dan een maand bekend is: nieuws: 'Onvindbare malware mogelijk op AMD x64-systeem'

[Adrianb]

Als het al een maand bekend was zou het al lang gefixt moeten zijn

[i-chat]

ho ho, - het is geen bug in het OS he waar hier om gaat,
het is namelijk uitbuiting van de nieuwste virtualisatie technieken....

Los van het feit dat blue pill eerst wel ge-installeerd moet worden, zal het daarna in een geheel ander geheuge segment gescheiden van het os gaan opereren. - dat was dan ook de hele opzet van passifica ... 2 OS-en (min of meer, native) tegelijk op 1 cpu draaien. -

[Freee!!]

Ik weet niet hoor, maar ik heb geen crematie gezien.

[Aapenootjes]

Nee, om vista nou meteen ten dode op te schrijven is ook wat overdreven.

[Verwijderd]

Accept! Zo'n klacht hoorde ik ook van mijn kinderen omtrent ZoneAlarm, je blijft maar toestemming verlenen en ze geven maar gewoon "Accept" Ik wil alleen benadrukken dat veel popups irritatie opleveren en je na 10x wel "ja" wilt drukken omdat je het zat bent...

[hansg]

Zone alarm heeft een handige functie om een "accept" of "deny" permanent te maken. Als je dat gebruikt dan krijg je op zijn hoogst een of twee keer een vraag als je een nieuwe applicatie installeert - voor de meeste mensen niet dagelijks dus.

[Cameleon73]

Da's exact de reden dat ZoneAlarm er bij mij uiteindelijk weer vanaf ging... er kwamen soms zoveel belachelijk veel meldingen dat 't niet meer werkbaar was. En een 'permanent accept' ben ik voor een aantal (irritante) meldingen nooit tegengekomen.

Ik denk ook niet dat dit tot een veiliger systeem leidt... de gebruiker bij elk wissewasje om goedkeuring vragen. Er zou toch een slimmer systeem te bedenken moeten zijn?

[Verwijderd]

wat een gelul, krijg bij zonealarm hooguit om de paar dagen een melding, dat heb ik wel over voor een beveiliging van de kernel

[Goofy]

Microsoft claimt dat Vista de meest veilige Windows-versie ooit zal worden.

Ik denk niet dat ze veel succes zouden hebben als Windows XP veiliger zou zijn...

[pinockio]

"Eén van de meest veilige". Dus: mogelijk is één van de voorgaande versies (1.0, 3.11, NT 3.51, 95, 98, 2000 om er een paar te noemen) veiliger? En: het lijkt me nogal makkelijk om één van de meest veilige te zijn, want de andere waren qua beveiliging nogal bedroevend.

[Patriot]

Goh, voor het gemak de zin maar even veranderd?

Ik vind het héél vreemd dat jij spreekt over 'één van de meest veilige' spreekt, terwijl het schuingedrukte deel helemaal niet in het bericht voorkomt.

Er staat vrij duidelijk dat het de veiligste Windows-versie wordt, als dat zo is, is het toch nooit slecht?

[Verwijderd]

Lekker dit, nu maken ze een systeem dat bij ELK riusico om bevestiging vraagt, zijn er nog mensen die het een reden vinden om het af te fakkelen. Zal ik het maar een keer zeggen dan: De enige manier om besmetting te voorkomen is door mensen die NIET weten wat ze doen GEEN admin te maken. Je geeft een kind ook geen vuurwapen.. (ok, beetje manke vergelijking maar toch). Volgens mij wordt het tijd dat we eens gaan nadenken over een aansluitbewijs of zo wat garandeerd dat mensen eerst een bepaald nivo van kennis hebben voorat ze überhaubt admin kunnen worden, je doet tenslotte niet alleen jezelf meer kwaad tegenwoordig met dit soort onbenullerigheid.

[J.J.J. Bokma]

"Volgens mij wordt het tijd dat we eens gaan nadenken over een aansluitbewijs of zo wat garandeerd dat mensen eerst een bepaald nivo van kennis hebben voorat ze überhaubt admin kunnen worden,"

Simpel op te lossen: Bij misbruik sluit je provider je af, en mag je heraansluitkosten betalen. 1e keer 50 euro, 2e keer 100 euro.

Een rijbewijs voor Internet is een leuke melkkoe, maar zie ik niet gebeuren. Heraansluitkosten kan een provider in een week invoeren (ff een brief opstellen met wijzigingen algemene voorwaarden en hop). Wordt het voor een provider ook rendabel om actief op misbruik te gaan scannen.