Новости извне Матрицы

[La_Costa]

Здравствуй, Карабах. Лет двадцать не виделись.

[Malbogatra]

Но эпидемии аццких хардварных вирусов, заражающих мыши, ожидать, думаю, не стоит.

Почему? Чем с точки зрения вируса мышь за 200 рублей отличается от обычной флэшки? Это usb? Значит можно заразить. Паять ничего не нужно. Ты приносишь на комп зараженную флешку, подключаешь, и получаешь зараженные мышку, клавиатуру, и все остальные устройства. Далее, при включении любого из твоего зараженного барахла в другой комп, он также заражается - как и все его usb-устройства.

[Отец Фома]

Может, хватит тут паранойю разводить? Если уж так вирусов боитесь, выкиньте компьютер в окошко. А то, глядишь, еще и биологические вирусы генерировать начнёт.

[Cardboarddog]

Здравствуй, Карабах. Лет двадцать не виделись.

Кто-то за это время усиленно готовился, покупая тяжёлую технику у России и строя теории заговора из-за её отказа продавать самолёты.

Всё же в защите сидеть проще, особенно если местность гористая. Как бы кто-то опять не того самого.

[Malbogatra]

Может, хватит тут паранойю разводить? Если уж так вирусов боитесь, выкиньте компьютер в окошко. А то, глядишь, еще и биологические вирусы генерировать начнёт.

А может тебя лучше выкинуть в окошко? А то, глядишь, и ты биологические вирусы генерировать начнёшь? Бояться и учитывать угрозу - это разные вещи. А системный администратор с паранойей - он ведь как дюраселл - работает дольше, намного дольше...

Изменено 5 августа, 2014 пользователем Malbogatra

[La_Costa]

Кто-то за это время усиленно готовился, покупая тяжёлую технику у России и строя теории заговора из-за её отказа продавать самолёты.

Всё же в защите сидеть проще, особенно если местность гористая. Как бы кто-то опять не того самого.

Пока не попрут наёмники...

 

Таки что успели азербайджанцы накрафтить из техники?

[Dun Dram]

Почему? Чем с точки зрения вируса мышь за 200 рублей отличается от обычной флэшки?

Эээ ...тем, что это мышь, а это - флэшка?

Железо-то разное. Контроллеры, я так полагаю, тоже разные (не уверен, что контроллер в мышке за 200 рублей при этом вообще способен на что-то, кроме как тупо собирать координаты с датчика и передавать их на разьем - в том числе и перепрошиваться; в навороченных моделях со встроенной памятью и прочими кунштюками еще, возможно, и есть где развернуться). Прошивки, соответственно, тоже.

А вирусу ведь надо будет не просто тупо вшить себя в тело exe-файла, а суметь записать в прошивку нужные функции, с учетом архитектуры контроллера, при этом не нарушив ее функциональности - думаю, это задача несколько более нетривиальная. Я бы тут скорее эпидемии дохлых прошивок опасался. Хотя если бы это было так просто, подобные эпидемии уже давно бы имели место.

 

Это usb? Значит можно заразить.

А USB-шнурок или USB-фонарик тоже можно заразить?

[Cardboarddog]

Пока не попрут наёмники...

 

Таки что успели азербайджанцы накрафтить из техники?

С чьей стороны наёмники?

 

У России в прошлом году покупали T-90C, TOC-1A, какое-то количество БМП-3. На армянском форуме видел возмущения по этому поводу, что вооружают противников. Но если не Россия, так кто-то другой. Деньги не пахнут, это армяне должны хорошо знать.

С ЮАР сотрудничают в производстве лёгкой бронетехники, Мародёр как раз оно самое. У Израиля покупают беспилотники, ЗРК и ПРО, хвалёный "Железный купол". Занятный получается зоопарк. Из их собственных разработок я помню только что-то стрелковое.

[La_Costa]

С чьей стороны наёмники?

 

У России в прошлом году покупали T-90C, TOC-1A, какое-то количество БМП-3. На армянском форуме видел возмущения по этому поводу, что вооружают противников. Но если не Россия, так кто-то другой. Деньги не пахнут, это армяне должны хорошо знать.

С ЮАР сотрудничают в производстве лёгкой бронетехники, Мародёр как раз оно самое. У Израиля покупают беспилотники, ЗРК и ПРО, хвалёный "Железный купол". Занятный получается зоопарк. Из их собственных разработок я помню только что-то стрелковое.

Посмотрим, что будет из всего этого.

[Отец Фома]

Глядишь, так и до Казахстана или более южных постсоветских стран война доберется.

[Malbogatra]

...

 

"...любое устройство с поддержкой USB имеет чип, отвечающий за процесс подключения к другим USB-устройствам. Исследователи обнаружили, что прошивка USB-контроллеров не защищена от перепрограммирования, причём сам факт перепрограммирования сложно заметить. С помощью особого созданного ими инструмента BadUSB специалисты добились превращения обычного USB-устройства, даже флеш-брелока, в средство взлома компьютеров.

Такое модифицированное устройство может осуществлять следующую вредоносную деятельность:

- Эмулировать клавиатуру и исполнять команды от лица авторизованного пользователя, например, просматривать файлы или устанавливать вредоносное ПО. Такое вредоносное ПО, в свою очередь, может заражать контроллеры всех USB-устройств, подключённых к компьютеру.

- Обмануть сетевую карту и изменить настройки DNS компьютера, чтобы перенаправлять трафик через серверы злоумышленников.

- Модифицированный USB-брелок или внешний жёсткий диск может при определении процесса старта компьютера загружать небольшой вирус, который инфицирует операционную систему ещё до загрузки какого-либо антивирусного ПО.

Помимо прочего, исследователи заявляют, что нет эффективного способа обнаружения взломанного USB-оборудования: сканеры вредоносного ПО не могут получать доступ к прошивке на USB-накопителях; брандмауэров USB, блокирующих устройства определённых классов, пока нет; определить вредоносное устройство по его поведению тоже сложно, так как в случае изменения BadUSB типа устройства для системы это выглядит как просто подключение нового оборудования.

 

Хуже всего то, что в случае заражения USB обычные средства полной переустановки системы не помогут: USB-брелок с установщиком ОС может быть уже заражён, как и веб-камера, клавиатура, мышь или любое другое USB-оборудование на компьютере. Устройство BadUSB может даже перепрошить BIOS на компьютере с помощью эмуляции клавиатуры и запуска скрытого файла на USB-брелоке. В целом после инфицирования компьютер и его USB-периферия уже не могут считаться безопасными.

В долгосрочной перспективе проблема может быть исправлена: производителям необходимо сделать прошивки контроллеров USB немодифицируемыми (или усложнить этот процесс), а компаниям, занятым в сфере безопасности, нужно разработать ПО, проверяющее USB-устройства на неавторизированную модификацию прошивки. Но пока средства взлома вроде BadUSB могут представлять существенную угрозу."

 

USB - это универсальный стандарт. А значит, и микропрограммы у всех usb-устройств должны быть стандартны. Этого достаточно, чтобы было возможно создать универсальный вирус

Изменено 5 августа, 2014 пользователем Malbogatra

[Lucyfire]

Не будет универсальных вирусов.

[Отец Фома]

С Южным потоком все печально.

 

 

 

P.S. Похоже, в полку Жлопемапа скоро будет пополнение.

Изменено 5 августа, 2014 пользователем Отец Фома

[La_Costa]

С Южным потоком все печально.

 

 

 

P.S. Похоже, в полку Жлопемапа скоро будет пополнение.

Осталось устроить сумбур в Болгарии.

 

Странно оно показывает, да ладно.

Почитал я о поставках вооружения в Азербайджан. Нехиленько прикупили они еврейских щитов.

Пять БПЛА Heron и пять БПЛА Searcher, системы Barak-8, в том числе 75 ракет к ним, радиолокационная системы Green Pine.

Изменено 5 августа, 2014 пользователем La_Costa

[Dun Dram]

USB - это универсальный стандарт. А значит, и микропрограммы у всех usb-устройств должны быть стандартны. Этого достаточно, чтобы было возможно создать универсальный вирус

Нафига?

Вот передо мной USB-фонарик лежит. Состоит из USB-разъема, трех диодов и ...резистора, вроде. У него тоже должна быть "стандартная микропрограмма"?

 

Вот взять ту же мышку с флэшкой. Во флэшке контроллер важным делом занят: получает входящие данные, и записывает их на чип памяти, или, при необходимости, наоборот, перенаправляет данные из памяти на выход. Плюс еще всякие служебные функции.

У мышки контроллер только сообщает данные сенсора на выход. Ему в принципе не нужно получать никакие входящие данные (конечно, бывают и другие мышки, которые принимают данные типа замапленных на кнопки макросов, раскраску иллюминации светодиодов, и тому подобное). На кой чорт ставить в мышку такой контроллер, как во флэшку?

 

Формат данных, передаваемых через USB, должен быть стандартен, а не контроллеры, и уж точно не их прошивки. Иначе бы такой мороки не было бы с восстановлением контроллеров дохлых флэшек, например.

 

Опять-таки. Вот беру я, допустим, зараженную флэшку, и втыкаю ее в USB-разъем. Каким образом она мне заразит другую флэшку, воткнутую в другой разьем?

[Nick1317]

Вывод: переходите на деревянные материнки.

Уже думал, но завесив шторы увидел на компе только совмещенный вход для клавы и мыши, подрубил клаву через переходник на ps/2, а за мышу теперь боюсь, такая новая, хрустит вся под рукой!

Нафига?

Вот передо мной USB-фонарик лежит. Состоит из USB-разъема, трех диодов и ...резистора, вроде. У него тоже должна быть "стандартная микропрограмма"?

 

Вот взять ту же мышку с флэшкой. Во флэшке контроллер важным делом занят: получает входящие данные, и записывает их на чип памяти, или, при необходимости, наоборот, перенаправляет данные из памяти на выход. Плюс еще всякие служебные функции.

У мышки контроллер только сообщает данные сенсора на выход. Ему в принципе не нужно получать никакие входящие данные (конечно, бывают и другие мышки, которые принимают данные типа замапленных на кнопки макросов, раскраску иллюминации светодиодов, и тому подобное). На кой чорт ставить в мышку такой контроллер, как во флэшку?

 

Формат данных, передаваемых через USB, должен быть стандартен, а не контроллеры, и уж точно не их прошивки. Иначе бы такой мороки не было бы с восстановлением контроллеров дохлых флэшек, например.

 

Опять-таки. Вот беру я, допустим, зараженную флэшку, и втыкаю ее в USB-разъем. Каким образом она мне заразит другую флэшку, воткнутую в другой разьем?

Есть же наверно что-то без возможности записи и переделки? В вопросе безопасности это лучше пользовать.

Изменено 5 августа, 2014 пользователем Nick1317

[Malbogatra]

>Нафига?

А нафига обычно используют вирусы?

 

>Вот передо мной USB-фонарик лежит. Состоит из USB-разъема, трех диодов и ...резистора, вроде. У него тоже должна быть "стандартная микропрограмма"?

С точки зрения программиста микроконтроллера, во взаимодействии любого usb-совместимого устройства есть следующие сущности: PC, устройство, кабель и две программы - одна в контроллере на PC, вторая - на usb-устройстве. Так что любое usb-совместимое устройство имеет управляющий канал. А как бы иначе ОС узнала, что это за железяка и на основе каких данных выбирала драйвер для ее обслуживания? Только не нужно считать usb-совместимыми устройства, которые используют usb исключительно для получения питания - как твой фонарик.

 

>У мышки контроллер только сообщает данные сенсора на выход. Ему в принципе не нужно получать никакие входящие данные

Вот как? Это для меня новость. Данные сенсора контроллер мыши передает никак не на выход, а на другой контроллер. Это раз. Два - для установления связи между двумя устройствами по любому протоколу стандарту требуется обмен данными - а это подразумевает двухстороннюю связь.

 

>Формат данных, передаваемых через USB, должен быть стандартен, а не контроллеры, и уж точно не их прошивки. Иначе бы такой мороки не было бы с восстановлением контроллеров дохлых флэшек, например.

Да пофигу какой там контроллер. Вся суть универсального интерфейса как раз в том, что для ОС контроллер устройства - в каком-то смысле, это черный ящик. Все равно что там внутри - если наружу отправляются стандартные вопросы и ответы. А если ты заранее знаешь каков вопос и каков должен быть ответ, написать эксплойт - дело техники. Другой вопрос, что я сейчас в Ростове, а не в Лас-Вегасе, поэтому я не смогу объяснить сути обнаруженной уязвимости и объяснить более детально. Но уж наверное, ребята которые сейчас проводят там конференцию знают об этом несколько больше нас, а значит впустую говорить не будут.

 

>Опять-таки. Вот беру я, допустим, зараженную флэшку, и втыкаю ее в USB-разъем. Каким образом она мне заразит другую флэшку, воткнутую в другой разьем?

Ты удивишся, но через USB. А если серьезно, я не понимаю вопроса. Каким путем обычные вирусы заражают другие флэшки? При включении зараженного устройства, usb-контроллер опрашивает новое устройство, считывает информацию о нем, да и после инициализации они продолжают обмениваться сообщениями через управляющий канал (а может и через канал прерываний - этого я не знаю). Что мешает вирусу выполнить свой код на этом этапе?

Дальше заражается оперативная память с которой работает контроллер на материнке, причем антивирус, который крутится уровнем выше, считает что все в порядке - для него кусок низкоуровнего кода вируса в оперативной памяти ничего не значит, у него нет средств определить, что устройство ведет себя как-то не так - критерии сравнения зараженного и незараженного устройства отсутствуют.

А после этого вирус записывается на подключенные usb-устройства. Все.

 

 

Есть же наверно что-то без возможности записи и переделки? В вопросе безопасности это лучше пользовать.

Так о чем и речь. Про usb считали что перепрошить устройство нельзя, но оказалось что благодаря косяку в самом стандарте USB - можно.

Изменено 5 августа, 2014 пользователем Malbogatra

[Nick1317]

Malbogatra, хоть ты примерно описал суть процесса мне, спасибо! Но если я правильно понял, дело в заражении происходит от флэш-носителя через комп на устройства, подверженные этому. С устройств, которые уже заражены. А подключение через ps/2 могут ли получить это(мышь/клава), если они изначально USB были?

[Dun Dram]

А нафига обычно используют вирусы?

А при чем тут вирусы?

 

Так что любое usb-совместимое устройство имеет управляющий канал. А как бы иначе ОС узнала, что это за железяка и на основе каких данных выбирала драйвер для ее обслуживания?

На основе данных, предоставляемых устройством, да.

Управляющий канал не предназначен для передачи данных - он предназначен для передачи, собственно, стандартных управляющих команд.

 

Вот как?

Вот так.

 

Данные сенсора контроллер мыши передает никак не на выход, а на другой контроллер.

Данные сенсора контроллер мыши передает на выход канала прерываний (кто там его с другой стороны получает - это другой вопрос). На вход канала прерываний мышка не получает ничего (клавиатура получает хотя бы статус капслока и прочих индикаторов).

 

Два - для установления связи между двумя устройствами по любому протоколу стандарту требуется обмен данными - а это подразумевает двухстороннюю связь.

Ну да, ну да, у мышки есть управляющий канал. Все, что мышка может через него сделать - получить стандартный вопрос "тыктотакой", отрапортаваться, и доложить, через какой канал получать от нее данные. Все.

Других каналов передачи данных мышка не имеет вообще.

 

Да пофигу какой там контроллер. Вся суть универсального интерфейса как раз в том, что для ОС контроллер устройства - в каком-то смысле, это черный ящик.

А для вируса он, значит, не ч0рный ящик, вирус, значит, одним коротким вопросом о его модели и производителе на лету его перепрошьет.

 

Другой вопрос, что я сейчас в Ростове, а не в Лас-Вегасе, поэтому я не смогу объяснить сути обнаруженной уязвимости и объяснить более детально. Но уж наверное, ребята которые сейчас проводят там конференцию знают об этом несколько больше нас, а значит впустую говорить не будут.

Я сильно подозреваю, что ребята, которые в Лас-Вегасе, выражаются несколько в иных терминах, нежели журнализды.

 

Каким путем обычные вирусы заражают другие флэшки?

Известно каким. Хорошо известно, в том числе и антивирусам.

 

При включении зараженного устройства, usb-контроллер опрашивает новое устройство, считывает информацию о нем, да и после инициализации они продолжают обмениваться сообщениями через управляющий канал (а может и через канал прерываний - этого я не знаю). Что мешает вирусу выполнить свой код на этом этапе?

Все, что вирус сможет сделать на этом этапе - сказать что я, мол, не флэшка, я, мол, клавиатура, в которую вставлена флэшка.

 

Дальше заражается оперативная память с которой работает контроллер на материнке...

Сама собой заражается, надо думать? И код сам собой выполняется?

Или все-таки фейковый девайс запускает код, абузя эксплойты в драйверах и API системы?

 

...причем антивирус, который крутится уровнем выше, считает что все в порядке - для него кусок низкоуровнего кода вируса в оперативной памяти ничего не значит, у него нет средств определить, что устройство ведет себя как-то не так - критерии сравнения зараженного и незараженного устройства отсутствуют.

С чего бы это? "Кусок кода" крутится уже не в девайсе, кусок кода крутится в оперативке, на уровне системы. Чего бы вдруг антивирус стал выше?

 

А после этого вирус записывается на подключенные usb-устройства. Все.

То есть поведение какого-то непонятного кода, который с чего-то вдруг начал как-то непонятно заливать данные на устройство антивирус внезапно отследить не может?

[Malbogatra]

>Управляющий канал не предназначен для передачи данных - он предназначен для передачи, собственно, стандартных управляющих команд.

Я разве говорил иное? В этом, вероятно и заключается проблема - можно заставить стандартными управляющими командами делать вещи, нехарактерные для стандартной прошивки данного устройства

 

>Данные сенсора контроллер мыши передает на выход канала прерываний (кто там его с другой стороны получает - это другой вопрос). На вход канала прерываний мышка не получает ничего (клавиатура получает хотя бы статус капслока и прочих индикаторов).

Но есть еще и управляющий канал. А канал управления ничего не получающий на вход - это нонсенс.

 

>Я сильно подозреваю, что ребята, которые в Лас-Вегасе, выражаются несколько в иных терминах, нежели журнализды.

Делать выводы на основе подозрений - ошибка. Подождем - может появится новая информация. Тогда можно будет обосновано утверждать в каких терминах выражаются ребята из Лас-Вегаса.

 

>Все, что вирус сможет сделать на этом этапе - сказать что я, мол, не флэшка, я, мол, клавиатура, в которую вставлена флэшка.

Всего-то ничего, да? А почему мы бы после этого не перепрошить биос? Или не выполнить в режиме эмуляции клавиатуры любого другого действия, еще до загрузки ОС? Да и откуда вообще такое знание чего может и чего не может такой вирус?

 

>Сама собой заражается, надо думать? И код сам собой выполняется?

Надо думать, что сами только кошки родятся. А код выполняется транслятором и процессором. Давай без риторических и тем более иронических вопросов. Так проще.

 

>С чего бы это? "Кусок кода" крутится уже не в девайсе, кусок кода крутится в оперативке, на уровне системы. Чего бы вдруг антивирус стал выше?

>То есть поведение какого-то непонятного кода, который с чего-то вдруг начал как-то непонятно заливать данные на устройство антивирус внезапно отследить не может?

Ну что тут сказать? Возможно имеет смысл почитать про уровни абстракций в целом и конкретно в системном программировании.

Сейчас же предлагаю остановить этот диалог - он похоже превращается в оффтоп. Я - сисадмин, а не системный программист, и мне банально не хватает специальных знаний в данной области. Боюсь, и у тебя нет опыта написания программ для микроконтроллеров. А значит дальнейшую дискуссию можно будет вести только после получения более детальной информации о уязвимости - и возможно, это будет интересная дискуссия.

Сейчас же, обсуждать проблему не имея даже базовых знаний по вопросу - это означает толочь воду в ступе и надувать щеки в попытках одержать вверх над оппонентом, а вовсе не выяснить истину. И без нас есть масса офисных менеджеров ежеминутно готовых дать консультации президенту касательно тонкостей внешней и внутренней политики, домохозяек, дающих советы академикам РАН и уверенных пользователей MS Word, обсуждающих уязвимости OpenSSL. Я не хотел бы уподобляться таким людям. Да, разумеется, Гугл значительно расширяет область людского знания, но и он не способен изменить образ мышления менеджера или домохозяйки на образ мышления специалиста.

Изменено 6 августа, 2014 пользователем Malbogatra

[Dun Dram]

Я разве говорил иное? В этом, вероятно и заключается проблема - можно заставить стандартными управляющими командами делать вещи, нехарактерные для стандартной прошивки данного устройства

И на основе чего ты сделал вывод про использование здесь "стандартных управляющих команд"?

 

Делать выводы на основе подозрений - ошибка. Подождем - может появится новая информация. Тогда можно будет обосновано утверждать в каких терминах выражаются ребята из Лас-Вегаса.

http://ic.pics.livejournal.com/poroshoknevhodi/45832559/19628/19628_600.jpg

Делать выводы на основе желтых журнализдких статей - ошибка.

 

Всего-то ничего, да? А почему мы бы после этого не перепрошить биос?

Стандартными ответами на стандартные управляющие вопросы, ага.

Ты же сам вон цитируешь - что бы перепрошить BIOS, ему нужно "эмулировать клавиатуру" (то начать выдавать данные уже не по управляющему каналу) и "запустить скрытый файл на USB-брлоке" (то есть уже запустить процесс, начать файловые операции...).

 

Или не выполнить в режиме эмуляции клавиатуры любого другого действия, еще до загрузки ОС?

Вот это, кстати, уже интереснее - по идее, так можно запустить загрузщик с флэшки, даже когда загрузка с внешних устройств в биосе отключена... То есть, опять-таки, можно напаять мышку-убийцу, которая темной-темной ночью сама включит комп, и получит полный к нему доступ...

Вот только записать хотя бы простенький загрузщик в обычный мышиный контроллер, боюсь, не удастся.

 

Да и откуда вообще такое знание чего может и чего не может такой вирус?

Да из описания его из этех же самых статей, откуда же еще.

Ну то есть все, что тут описывается - эмуляция фейковых USB-устройств, программный контроль компьютера через HID, прошивка USB-контроллеров на внешних устройствах - это все хорошо известные и изученные возможности. Нет никаких оснований предполагать, что тут что-то принципиально новое - из всех статей складывается впечатление, что ребятам просто удалось взять отдельную флэшку с отдельным контроллером, написать для контроллера кастомную прошивку, в которой комплексно реализовали все вышеописанное, и заявить, что теоретически это возможно провернуть с любым контроллером (что теоретически действительно так).

 

Боюсь, и у тебя нет опыта написания программ для микроконтроллеров.

Ладно, ладно, спорить не буду - опыта нету, да (хотя была одно время возможность поработать в этой сфере). Изменено 6 августа, 2014 пользователем Dun Dram

[Malbogatra]

Делать выводы на основе желтых журнализдких статей - ошибка.

Ну, не все же статьи обязательно желтые. На самом сайте blackhat, например, утверждается что это "новая форма вредоносных программ". А кроме того, там же обещают на семинаре продемонстрировать "a full system compromise from USB and a self-replicating USB virus not detectable with current defenses." Так что спорить не о чем - вирус принципиально возможен, хотя возможности его заражения разных классов устройств пока неизвестны.

 

Вот это, кстати, уже интереснее - по идее, так можно запустить загрузчик с флэшки, даже когда загрузка с внешних устройств в биосе отключена...

Там речь идет даже о случаях с загруженной ОС - пользователь входит в систему, после чего зараженное устройство, которое система считает клавиатурой, способно набедокурить под видом пользовательского ввода.

[Cardboarddog]

Глядишь, так и до Казахстана или более южных постсоветских стран война доберется.

Приднестровье с соседями, в Грузии какая-то муть при некотором участии бывшего, это внутреннее дело, но если сильно разгорится, хорошего не будет, в Казахстане есть "потенциал", да и держится чуть ли не на одном человеке. Так что да, полыхнёт, мало не покажется.

Если всё так и будет - можно рассуждать о совпадениях.

[Отец Фома]

Приднестровье с соседями, в Грузии какая-то муть при некотором участии бывшего, это внутреннее дело, но если сильно разгорится, хорошего не будет, в Казахстане есть "потенциал", да и держится чуть ли не на одном человеке. Так что да, полыхнёт, мало не покажется.

Если всё так и будет - можно рассуждать о совпадениях.

Китайцы при таком раскладе по-любому от казахов или таджиков что-нибудь да урвут.

[La_Costa]

Китайцы при таком раскладе по-любому от казахов или таджиков что-нибудь да урвут.

Ну, а чего бы не расширить территорию? Людей много, места мало =3