Хакеры вновь поставили под сомнение безопасность Windows Vista

На конференции Black Hat, которая пройдет в Лас-Вегасе, двое секьюрити-исследователей намерены продемонстрировать новую технику атаки, которая сможет поставить Windows Vista на колени.

Марк Дауд (Mark Dowd) из IBM Internet Security Systems (ISS) и Александр Сотиров (Alexander Sotirov) из VMware Inc. Обнаружили технику, которая может быть использована для обхода всех типов защиты памяти, которые Microsoft встроила в Windows Vista, в частности Address Space Layout Randomization (ASLR), Data Execution Prevention (DEP) и другие технологии защиты. Достигается это путем загрузки вредоносного кода через активный веб-браузер. Исследователям удалось загрузить произвольный контент в любую из областей файловой системы при помощи различных скриптовых языков, включая Java, ActiveX и .NET-объекты. Результатов удалось добиться за счет использования способа, каким Internet Explorer (и другие браузеры) осуществляют обработку активных скриптов в ОС.

Несмотря на то, что данная находка может рассматриваться как любая иная брешь в системе безопасности, другие исследователи полагают, что данное исследование - большой прорыв, поскольку Microsoft для закрытия этой бреши не может сделать ровным счетом ничего. Такого рода атаки в корне отличаются от других эксплойтов, потому что они основаны не на уязвимостях Windows самой по себе, а используют преимущества способа, который Microsoft выбрала для защиты фундаментальной архитектуры Vista. По словам Дино Дай Зови (Dino Dai Zovi), известного секьюрити-аналитика, "гениальность находки заключается в том, что можно загрузить совершенно любой контент в любую область файловой системы с любым уровнем привилегий".

По словам Microsoft, большинство из вышеназванных техник были введены в Windows Vista (и Windows Server 2008) с целью предотвращения host-based атак. Например, ASLR призвана не позволять атакующим угадывать ключевые адреса памяти (от англ. key memory address) путем случайного смещения стэка и библиотек процессов. Несмотря на то, что данная техника весьма удачна против атак с повреждением памяти или атак на переполнение буфера, она совершенно бесполезна против техники, продемонстрированной Даудом и Сотировым.

"Это открытие приставило нож к горлу системы безопасности Vista" - говорит Дай Зови. "Если вы считаете, что .NET загружает DLL в браузер сама по себе, и Microsoft считает их безопасными лишь потому, что они представляют собой .NET-объекты, вы поймете, что Microsoft даже не рассматривала идею их использования в качестве основы для других типов атак."

Несмотря на то, что Microsoft официально не отреагировала на находку, Майк Риви (Mike Reavey), групповой менеджер Microsoft Security Response Center, заявил, что компания знала о исследовании и было интересно уведить его результаты в публичном доступе. Пока непонятно, могут ли эти эксплойты быть использованы против предыдущих версий Windows, в частности Windows XP и Windows Server 2003, но поскольку эти техники не основаны на конкретных уязвимостях, Зови считает, что в ближайшее время могут появиться схожие техники для других платформ. "Нельзя сказать, что это способ очень уж техничен. Эти два парня могут проводить техничные низко-уровневые атаки, но эта техника проста и работоспособна" - говорит Дай Зови. "Думаю, что эта техника будет успешно применяться."

Эти техники следует рассматривать как предупреждение не только Microsoft, но и всей IT-индустрии, точнее способу мышления IT-специалистов об атаках. Так что в ближайшее время, возможно, появится новый тип атак, который позволить взламывать самые защищенные серверы в сети.


Источник: http://www.blackhat.com
Перевод: deeper2k