Názory k článku Postřehy z bezpečnosti: BadBIOS, nová generace perzistentního malwaru
-
KapitanRUM (neregistrovaný)
Popravdě jsem to jen prolétl, ale na tohle může skočit snad jen debil, proto se divím, že to je tady na rootu publikované, tohle patří na servery o UFO.
Vážně se divím, kdo tu píše newsky, tohle je prostě HOAX a v lepším případě IQ test, někdo by si tu měl dát na svůj FB profil žirafu nebo lépe vykulené tele a já to nejsem (FB nemám, mám jen RUM!)
Ano, technicky vzato je možné infikovat bios, tedy spíš teoreticky vzato to možné je, ano, hodně teoreticky.
Co tomu brání:
A) V biosu je poměrně málo místa, příliš málo na to, aby se tam dal nahrát smysluplný program, který bude navíc schopný komunikovat po sítiB) bios "vyrábí" několik firem, biosů je celá řada, ten má UEFI, ten ne, tamten je ve verzi 7 jiný ve verzi 9
C) Ad bod A, v biosu je málo místa, ovladač pro všechny by se tam nevešel
D) zvuková karta funguje v rozsahu do cca 44,1 kHz, ale bedničky a sluchátka spíš do ~20 kHz, je to ve slyšitelném spektru,
Komunikace v tomto spektru možná je, vypadalo by to asi takto:
http://www.youtube.com/watch?v=rHYBnfgFZRI nebo takto http://www.youtube.com/watch?v=iHW1ho8L7V8E) V biosu je málo místa, ovladač zvukové karty se tam nevejde
F) Smysluplná komunikace ve slyšitelném spektru by virus spolehlivě prozradila, s tím se prostě není důvod srát
G) Kdyby to šlo udělat, už to někdo udělal, je tu příliš "nových" prvků, které jsou "příliš" teoretické na to, aby to byla pravda
H) Bios není jen bios ale i šváb, ve kterém ten bios je nahraný, společností vyrábějících ty šváby je asi 20 a švábů tak 80 typů, pokud nevím, jak se data do toho švába sypou, tj. nemám ovladač, pak je tam prostě nenarvu a zase je to velké, do toho chipu by se to nevešlo.
I) Flashnout každý bios nezvládne ani program uniflash. Mimo to bios se skládá z mnoha částí, program na rozložení biosu na jednotlivé části a jeho opětovné složení by byl dost velký a zase by se tam nevešel.
J) Uvažujme o nějakém univerzálním loaderu, který nějak zapříčiní to, že se zbytek viru dotáhne, ono bude stačit, pokud by se na klávesnicový vstup periodicky posílal řetězec www.mujpornovirus.cz a jednou by se to povedlo, ale zase odstřelit tu doménu by bylo dost easy, tedy takto ne.
Celé je to příliš komplikované na to, než aby to byla pravda.
Zavirovaná flash, která se automaticky spustí?
No možná, to není neobvyklé.
Napadený bios, který znovu a znovu spouští nějaký blok na disku?
No možná, je to zbytečné, protože bude stačit spustit antivir z CD a bios prověřit, ale teoreticky ano.
Ale že to bude komunikovat ve slyšitelném zvukovém spektru?Kdy přestanete věřit tomuto rybáři:
Šel jsem na kapry.
Šel jsem na kapry a chytil jsem čtyři metry dlouhého sumce.
Šel jsem na kapry a chytil jsem čtyři metry dlouhého sumce, ze kterého se vyklubala mořská panna, která mě několikrát vášnivě přeblafla a pak uplavala. -
KapitanRUM (neregistrovaný)
Bože....
pomocí zvukových vln o vysoké frekvenci (zvuková karta a mikrofon). Pozměňuje nastavení a chování operačního systému nezávisle na jeho typu (Linux, Windows, BSD, OS X,…) a pokud zaznamená činnost, která by mohla vést k jeho odhalení (nabootování z CD-ROMu, Process Monitor, hledání klíčů v registrech, …) tak tuto funkci prostě zablokuje.
...omlouvám se, mě to prostě nedá, tohle je totiž děsná kravina.
A) pomocí zvukových vln o vysoké frekvenci
Co autor myslí tou vysokou frekvencí?
Pokud nebudu mít místo reprobeden piezoelektrický měnič, tak udělám stěží 20 kHz.Tohle jsou "lepší" bedny:
http://www.alza.cz/genius-sp-hf2-0-360b-d370051.htm
Frekvenční rozsah:
20 Hz - 20 KHz
Proč si autor myslí, že 20 kHz je vysoká frekvence?B) Počítač, který vydává podivné zvuky, je podezřelý, kolik lidí má u počítač mikrofon? Ve firmách, kam chodíme spravovat compy, nikdo a notebookáři mají zase tak mizerné repro...ehm..chrchlátka, že je stěží slyšet Rammstein.
C) a pokud zaznamená činnost, která by mohla vést k jeho odhalení
Další blábol, do biosu se vejde celkem hovno, určitě ne program, který hlídá, jestli někdo nepřistupuje k biosu, často se vytváří i stínová kopie biosu, hodně velká teorie. Tedy, do biosu by se vešel maximálně loader viru, žádná složité vyfikundace, která zabrání dumpu biosu.
D) Pozměňuje nastavení a chování operačního systému nezávisle na jeho typu
Tak tomu uvěřím, až bude existovat jeden stejný univerzální ovladač (třeba od síťovky) pro Widle, Linux i BSD.
.....ATD.....
No, můžete věřit Čmelíkovi nebo starému ožralovi (mě).
-
KapitanRUM (neregistrovaný)
Doplnění:
App, tohle už tu jednou bylo, cca před 6-ti lety proběhla podobná aféra, která měla upozornit na určitou skupinu, "PROMO", vypadá to až podezřele podobně.
Panu Čmelíkovi doporučuji 10+20 hodin sledování tohoto: http://www.youtube.com/watch?v=fmA4vY5t7Is
Po prvních 10-ti hodinách bude "podmínečně" propuštěn a pokud skočí na podobnou kravinu, tak si to dokouká do konce.
-
Lael Ophir (neregistrovaný)
A., B. Jak jsem před chvílí psal, zrovna reproduktory notebooků mají na těch 20kHz slušnou odezvu. Na Rammstein to moc není, protože odezva u nižších frekvencí je (s ohledem na velikost ozvučnice celkem pochopitelně) tragická.
C. Souhlas, v BIOSu stačí loader viru. Vlastní virus může být na HDD, nebo se dá dotáhnout ze sítě. Naprostou většinu ovlivňování chodu OS bych dělal nějakým kernelovým rootkitem až v rámci OS.
D. Pro různé OS lze pouštět různé moduly. Je to spousta práce, ale Flame byl také nesmírně pracný.
BTW NDIS drivery můžete jet ve Windows, na Linuxu (NDISwrapper) i v BSD (NDISulator). Ne že by to v daném scénáři mělo smysl, ale ta možnost tu je :). Nakonec i core binárky driverů grafických karet nVidia jsou snad společné pro Windows a Linux, jen jsou jinak obalené. -
Jáchym (neregistrovaný)
Ta lebka v tom BIOSu se mi líbí. Pokud je universální pro všechny PC ať někam umístí image té flash, nebo mi ji půjčí.
Nebo ať rovnou vyrobí image toho BIOSu (myslím všechny moduly ne jen nějaký obrázek) a já si to naflashuji. Doufám že se ten kód umí řádně množit a má v budoucnu provést i nějakou totální destrukci (šmírování mne osobně nezajímá). Hodlám provést přátelskou návštěvu webů NSA, vlád, MS, FuBu, Gugl, a dlaších prevítů. I kdyby měl umřít celý svět počítačů a Internet, no nestálo by to za to...?
-
Jiří J. (neregistrovaný)
Přečti si původní anglický článek.
A,B,C,E,H)
V původním článku nikde není napsáno, že to 100% funguje na všech typech BIOSů. Podrobnosti budou snad dále zkoumány.
D,F)
Vzorkovací frekvence není frekvence zvuku. A i těch 19KHz většina lidí neslyší.
G)
To se tvrdilo i o NSA. Najisto potvrzeno to není, ale zas tak nereálné to také není.
I)
Opět, je to vysvětleno v odkazovaném článku. Záměrný buffer overflow způsobený flash controllerem také není mimo realitu. Potvrzeno to ale není, podrobnější průzkum má teprve proběhnout.
J)
??
....
Dlouho jsem si myslel, že jsi třeba jen výstřední windows troll, ale koukám, že jsem se docela pletl. Dej si 25 gramů vodky místo toho rumu, když už. :)
-
Lael Ophir (neregistrovaný)
Koukněte se na charakteristiku elektretového mikrofonu za 5 Kč. Na 20kHz se asi dostane, i když tam může být nějaký útlum. Jenže s odstupem signál-šum 58+dB a 20- nebo 32-bitovým AD převodníkem z toho můžete ještě spoustu informací dostat. Jinými slovy bych rozhodně nesázel na to, že to nejde.
http://www.gme.cz/img/cache/doc/643/022/mce102-datasheet-1.pdf -
Lael Ophir (neregistrovaný)
Aha, už tu byl jeden podobný link:
http://www.root.cz/clanky/postrehy-z-bezpecnosti-badbios-nova-generace-perzistentniho-malwaru/nazory/478173/ -
Lael Ophir (neregistrovaný)
Souhlasím že to celé zní trochu divně, ale není to nemožné.
A. V BIOSu stačí například virtualizovat OS před startem, a dotáhnout vlastní malware z HDD nebo ze sítě. Nicméně to lze zařídit i méně průhledně, například modifikací interrupt vectorů na pozadí běhu OS.
B. BIOSů existuje konečné množství, a autor nutně nemusí pokrýt všechny.
C. Vizte A.
D. Zvukové karty dneska umí i 96kHz. Navíc 20kHz pro většinu lidí není slyšitelná frekvence, natož v hluku okolí. Reproduktory navíc nemají "ostrou" maximální frekvenci. Intenzita zvuku se prostě mění s frekvencí. A první vygooglené reproduktory notebooku Dell Inspiron 9300 mají na 20kHz dokonce vyšší citlivost, než na 1kHz. Je to díky piezo reproduktorům.
http://www.notebookreview.com/default.asp?newsID=2550
http://www.notebookreview.com/assets/6858.jpg
E. Programování pro zvukové karty je naprosto triviální. V nejjednodušším modelu tam máte buffer který se cyklicky přehrává na samplovací frekvenci, a dochází k přerušení při přechodu přes půlku bufferu a přes hranici bufferu. Generovat signál modulovaný na 20kHz je trivialita. A asi by nebyl problém ani dělat to na pozadí běžícího OS - stačí přesměrovat interrupt, nechat OS udělat práci, a pak do bufferu zasáhnout. Stačí na to pár řádek v ASM. Navíc to celé opět nemusí být uložené v BIOSu.
F. Těch 20kHz neuslyšíte, natož v hluku okolí. A i kdybyste měl opravdu vynikající sluch, bude to pro vás jen slabé pištění, jaké vydávají CRT monitory, plasmové TV, zdroje, měniče a řada další elektroniky.
G. Souhlas, zní to celé velmi teoreticky.
H., I. Vlastní flash BIOSu není tak velký problém. Počet modelů je omezený, nemusíte pokrýt všechy, a vše ostatní je přece pouze otázka pracnosti. Pokud BIOS vyžaduje digitální podpis při flashování, ani to nemusí být problém. Například Flame měl klíčové části kódu podepsané - pro schopnou rozvědku není takový problém si kód podepsat třeba u nějakého výrobce HW, typicky bez jeho vědomí.BTW zrovna ta komunikace přes zvukovou kartu je zajímavá věc. Největším problémem malwaru jako je Flame je "aktualizace" systémů odpojených od netu (Flame používá USB klíčenky a lokání síť). Myšlenka že do jedné ze 17 jaderných instalací v Íránu přijde nic netušící kontraktor s notebookem, a i bez připojení notebooku k síti dojde k přenosu informace, musí být pro jisté lidi úžasně přitažlivá.
-
tralala (neregistrovaný)
dalsia fajn reakcia: The badBIOS Analysis Is Wrong.
http://www.rootwyrm.com/2013/11/the-badbios-analysis-is-wrong/ -
Kumerson (neregistrovaný)
Fascinujici, panove, jak se soustredujete na ten princip prenosu zvukem, to je zda se dobra navnada.
Totiz predstavme si situaci popsanou vyse, tedy "v Íránu přijde nic netušící kontraktor s notebookem, a i bez připojení notebooku k síti dojde k přenosu informace" ... prenese se teda mezi jakymi zarizenimi? Napadeny ntb je ok, ale kdo/co posloucha a na cem? Propanajana, cim to myslite ...
... to uz je pravdepodobnejsi, ze tim zvukem dojde k ovlivneni operatora a on pod hypnovlivem sam neco infikuje.
-
KapitanRUM (neregistrovaný)
A) Na 20kHz ta rychlost přenosu nebude nijak zázračná.
B) Asi se předpokládá, že nakažené budou už oba notebooky tj. na obou stranách funguje virus, který vysílá i poslouchá, takový přenos skutečně možný (na velmi krátké vzdálenosti) je.
C) Vzdálenost je další problém, aby přenos fungoval spolehlivě, museli byste mít obě zařízení dost blízko u sebe.
-
Lael Ophir (neregistrovaný)
Toho času tam mají Stuxnet a/nebo Flame. Nicméně přenos je (byl) jednosměrný, probíhá typicky USB klíčenkami, a počet přístupů k systémům je poměrně omezený. Když se vám povede tam jednou nasadit malware komunikující přes zvukovou kartu, bude přístup otevřený daleko častěji. Navíc může umožnit i daleko snazší vynášení informací. Takže o motivaci bych se nebál, a rozhodně mi nepřijde pravděpodobnější, že zvukem dojde k ovlivneni operatora a on pod hypnovlivem sam neco infikuje :)
-
KapitanRUM (neregistrovaný)
Tady to máš taky:
A tady domácí úkol:
http://www.cs.vsb.cz/grygarek/LAN/lect/fyzPrincipy.html
Vypočítej, za jak dlouho by se přeneslo ~20 MB při frekvenci 16kHz (notebooky často víc nedají)a se šířkou kanálu 2kHz. Tj. zaplním spektrum 14kHz až 18kHz.
Prostě ZKUSIT ALESPOŇ ZKUSIT POUŽÍT HLAVU.
-
Karel (neregistrovaný)
To je fajn, že stahujete 20 minut MP3, stereo, 128bit.
Vy asi za nesmyslnou teorii budete považovat i případy z osmdesátých a devadesátých let, kdy "útočník" vynesl data na disketě. Takový nesmysl, vždyť se na disketu nevešlo víc než cca 1.5 MB dat!
Nebo by tím limitem disket byla rychlost zápisu? Spočítal jste, jak dlouho by se na disketu zapisovalo 20MB dat?
Je vidět, že sice používáte hlavu, ale máte chybné předpoklady o velikosti dat a programů. Keylogger si vystačí s desítkami bytů za minutu. Ovladač zvukové karty se vejde do pár KB paměti. I značně sofistikovaný program vystačí s pár desítkami KB paměti. Chápu, že v době MS Visual Studio a GCC člověk snadno nabyde dojmu, že pod 10 MB program mít ani nemůže, ale tak to není.
-
Martin ČmelíkZlatý podporovatelnapoved: modularni
tj, nenahraje se jeden kolos, ktery umi vse (kvuli HW limitum to ani nejde), ale na dany pocitac se pouzije jen ten modul, ktery je pro to vhodny
-
Ottu slovnik naucny (neregistrovaný)
A jakze se to pak - nepripojene - bude bude sirit dal ? Z ceho to infikuje ty dalsi stroje ? Evidentne si je to vycuca z prdele.
To ze _IZOLOVANE_ jednotlive casti lze obhajit jako teoreticky mozne jeste neznamena ze to dohromady neni steaming pile of bullshit.
ZAVER: Kourici homada kravskeho hnoje kterou "autor" prevzal/sezral a v ramci boje za svoje ego/"prestiz" se ted snazi s tim nakrmit kazdeho. A protoze tohle vysvetleni je teoreticky mozne, je i pravdive.
HOWG.
-
Martin ČmelíkZlatý podporovatel
siri se to USB diskem jak jsem jiz zminil. z USB se na stroj (jiz na disk) muze nakopirovat samozrejme cely obraz a ten opet na jakekoliv USB, ktere k pocitaci pripojite. tohle by vam vsak dojit melo, pripadne kdyz nemate dostatecne uvazovani, tak si prectete jak fungoval FLAME
-
Ottu slovnik naucny (neregistrovaný)
Coz je par GB pro vsechny kombinace desek + jejich verzi biosu + vsech verzi firmwaru vsech relevantnich komponent. (To vsechno nasobime poctem verzi operacnich systemu pod kterymi nam to ma fungovat). __Obzvlaste__ vhodne pro sireni pres USB.
Postup a) neco ala Gentoo Portage: distribuuji se zdrojaky a build prostredi. A i tak by to bylo nechutne obrovske.
Postup b) nekomu doslo ze je to prilis obrovske nez aby se to vsechno veslo na jedno zarizeni.. Takze po webu rozeseje uloziste se vsemi on-demand stahovanymi binarkami.
At a ci b, vychazi nam z toho jedine: Infikuje se stubem, ktery se o stazeni zbytku postara sam ve vhodnou chvili.
Pokud nemate dost kapacity dojit o pouhy krok dal (ke kombinatoricke explozi), nemavejte dostatecnym (nebo radsi zadnym) uvazovanim.
-
Martin ČmelíkZlatý podporovatel
Skoda ze svoje teze nemuzete oprit o zadny argument... https://en.wikipedia.org/wiki/BIOS#Comparison
Takze kdyz upravite BIOS tri nejvetsich vyrobcu, tak mate bootkit pro 99% pocitacu. A kolik GB ze to bude mit?
-
Mirage (neregistrovaný)
Jak můžete psát pro Root?
HP, Dell a další mají custom biosy, ASUS má custum bios, biosů je mnoho verzí, vývojářů bios je málo, ale existuje opravdu nepřeberné množství verzí. Měl byste si zkusit nějaký bios upravit, zkuste si třeba jen RUČNĚ vyměnit SLIC!
Pak pochopíte, že píšete naprosté hlouposti.
Mám pocit, že nejtěžší, co jste kdy udělal, je právě flash biosu, spustil jste disketu a koukal, jak tam naskakují kostičky. Chápu, že pokud máte pocit, že ty kostičky tam jsou to nejdůležitější, myslíte si i to, že bios je jen takový jednoduchý zavaděč. Infikování biosu by znamenalo stažení image biosu a její rozbalení je to nej, nej, nej, nej jednodušší, ale zkus to udělat! -
Martin ČmelíkZlatý podporovatel
je za tou customizaci i neco jineho nez zmena loga? ne, vazne me to zajima, napiste mi jak moc se lisi
clanku o tom je pomerne dostnezvladne to kazdy, stejne tak ani zdaleka nezvladne kazdy napsat takovy malware
-
Ottu slovnik naucny (neregistrovaný)
dalsi polozka az si budete opravovat seznam faktu:
nejenze kazdy typ/rada desky od kazdeho vyrobce ma svuj vlastni bios (vlastni sestaveni biosu - ktere i kdyz muze sdilet nektere zdrojove soubory rozhodne nemusi byt kompatibilni ani s "podobnymi" deskami).
kazda typ/rada desky ma X verzi (v obycejnem 1.0, 1.1, 1.x smyslu) biosu. podobne je to s firmwary. a protoze ovladace maji casto rozmezi verzi na kterem jsou ochotne pracovat pristup "proste to updatujeme na nejnovejsi" nefunguje.
-
Martin ČmelíkZlatý podporovatel
slo by to udelat obracene a naopak detekovat aktualni BIOS, prepsat ty casti systemu nezbytne pro uspesne zavedeni malwaru a zbytek nechat tak jak je?
-
KapitanRUM (neregistrovaný)
To s tím SLIC je dobrý příklad!
Nejen že má bios různé části, ale i ty různé části mají různé verze a celé je to zabalené do Image. Také jsem si zkoušel vyměnit SLIC tabulku, ne ručně, to ne, na to nemám, ale pomocí toolů a musím říct, že i to naklikání je kolikrát fuška!http://www.google.cz/search?q=mod+slic
A zkuste si to udělat pro deset vybraných desek, zkuste 2 různé od ASUS, 2 Gigabyte, 2 MSI, 2 Dell, 2 HP a uvidíte, že dostat se "dovnitř" biosu rozhodně není žádná prdel.
Navíc, program na flashování paměti flash, je obvykle jeden určitý pro nějaký typ paměti, výrobců flash pamětí pro Biosy je totiž hodně a jednotlivých typů jsou snad stovky.
-
Spekulant (neregistrovaný)
Možná by to nebylo tak složité. Kdyby se externí BIOS umístil do stopy HDD a vyřadil by se BIOS v chipu...
Dříve to takhle fungovalo a já bych si tipnul, že ty dnešní počítače budou pro takovou variantu stále připraveny, jen vědět jak vyřadit interní BIOS (zřejmě i ten sekundární, ale je možné že ten to právě zařizuje) aby se hledal externí.
Pokud (U)EFI dělá to co myslím, tak ty ještě více dnešní počítače, se k tomuto schématu vlastně oklikou částečně vrací a kdo ví jak to výrobci desek udělali tady. Vůbec bych se nedivil kdyby byl externí "BIOS" hledán standardně a základní BIOS dodávaly pro desky až dodatečně v úplně poslední fázi.
-
ferrenz (neregistrovaný)
jako naprosty BIOSovy laik bych to otocil a zeptal bych se uplne natvrdo z druhe strany. resite tu jak diametralne se jednotlive biosy lisi,vcetne tech od jednoho vyrobce pro jednu generaci hw,hm OK, a co je na nich tak specifickeho? to je pisou nesvepravni idioti, kteri si nedokazi ulehcit praci nejakym generickym common modulem, nebo je to soucast nejake biosacke obfuskace, jejiz ucel mi naprosto unika?
-
j (neregistrovaný)
Oni plkaj nesmysle, ty biosy jsou stejny, ale na jiny desce ti to nebude chodit trebas kvuli specifickymu nastaveni chipsetu ci jinych registru. Jednoduse se nepocita stim, ze by ses pokousel (trebas) konfigurovat integrovanej fakeraid, kdyz tam zadnej neni. Proto ti to na jiny desce nepojede. Ale pokud udelas to, ze tam priflaknes kus kodu, a pro danyho vyrobce biosu prepises vsude stejny kousek, tak se ti ten tvuj kus kodu proste spusti, a vubec nemusis resit na jaky desce.
Jop a znova, v biosech ruznych Mb sem se opakovane rejpal. Takze si dovolim tvrdit, ze koncept spusteni vlastniho kodu primo biosem neni zadny scifi.
Apropos, ta pamet se programuje uplne jednoduse tak, ze se zapisuje bitstream na zcela konkretni a znamy port. A to na vsech deskach mladsich 10ti let. Zadny extra nastroj na to netreba, pokud clovek vi co dela.
-
KapitanRUM (neregistrovaný)
Jistě, že to teoreticky možné je, ale automatizovat ten proces je prostě extra složité.
Dobrá, kdyby řekli, že tento virus napadá AMI UEFI biosy, pak bych se začal třeba i bát, ale virus co napadá všechny biosy a všechny operační systémy, to je prostě kokotina.
Opět zkusím pár rozumných argumentů, které budou samozřejmě ignorovány.
(Proč se tu hádám s fanatikem? Možná si nechci připustit to, že někteří lidé prostě rozumným argumentům naslouchat nebudou.)Jak to v počítačovém světě chodí:
Objeví se technologie, která umí něco extra, extra.
Například kdyby se jednalo o virus, který modifikuje všechny UEFI biosy jedné konkrétní značky, není to UFO, ale fakt.Komunikace ve slyšitelném spektru pro komunikaci virů je blbost, ale dejme tomu.
Jak to v počítačovém světě NEchodí:
Nikdy se neobjevuje obrovská hromada nových technologií naráz!
Tenhle úbervirus je ultimátní rootkit, ultimátní borec na přenos po zvuku, je totálně nezničitelný a nedetekovatelný, nikdo ho nedokáže najít.Tomu může věřit opravdu jen blázen, že by se tolik nových věcí objevilo tak naráz.
Znovu se pokusím uvést příklad:
A)Byla sestavena kosmická loď, která nepoužívá tryskový motor, ale elektromagnetický.B)Byla sestavena kosmická loď, která nepoužívá tryskový motor, ale elektromagnetický, za jediný týden se posádce povedlo dosáhnout okraje sluneční soustavy.
C)Byla sestavena kosmická loď, která nepoužívá tryskový motor, ale elektromagnetický, za jediný týden se posádce povedlo dosáhnout okraje sluneční soustavy, pak přepli na Warp a doletěli až na planetu Vulkán!
Zdá se mi, že kdyby C prohlásil Barack Obama, tak tomu budete věřit.
Ne!
Nejprve se musí postavit kosmická loď, která nebude potřebovat tryskový motor. Pak se možná vymyslí WARP a nakonec se možná potkáme s Vulkánci!Stejně tak s technologií!
Když na tom viru bude úžasné jen to, že umí infikovat určité biosy, pak tomu uvěřím a řeknu "kurva pěkně hnusnej bastard!", ale tenhle UFO virus je jasný Bláááááááááááááááááááábooool! Duševní průjem! Žádné kouzelné viry nejsou! -
Lael Ophir (neregistrovaný)
Už několikrát jste dostal referenci na Stuxnet a Flame. Zjevně šlo o UFO: šíření přes USB klíčenky, rootkit, podepsaný kód, cílení na průmyslový SCADA systém SIMATIC WinCC, přepisování firmwaru embedded zařízení rootkitem, a hlášení falešných monitorovacích údajů, fyzické ničení zařízení. Prostě jen někdo poskládal věc, které jsou v principu možné, a dal tomu dost práce.
badBIOS samozřejmě může být hoax, ale také vůbec nemusí, protože to všechno zjevně je technicky možné. Jsem zvědavý, jak se celá věc vyvine.
-
Martin ČmelíkZlatý podporovatel
To je prave ten problem... mluvite o argumentech a kde jsou? Vy si tu prevazne jen povidate, ale bez moznych technickych reseni. Navic pochopte, ze pokud je to pravda, tak to nejspis psal cely tym lidi nekolik let a ne ze si to nejaky studentik napsal behem cestovani ve vlaku....
-
Přenos dat za pomoci zvuku jsem řešil před 25 lety na svém osmibitovém Atari. Tehdy jsem upgradoval z 600 b/s na úžasnou novinku zvanou Turbo 2000. Přenesla celých 2000 bitů za sekundu, a již tehdy jsem změnou parametrů dosáhl slušné úspěšnosti při přenosu více než 5 kb/s, s pomocí dnes zapomenuté technologie kazetových magnetofonů.
Tehdy se dokonce přenášela data pomocí zvukových vln standardního rozhlasového vysílání. Předchůdci dnešních gamesáků měli svůj rozhlasový pořad, a ve správném okamžiku přiložili mikrofon ke svému tranzistoráku nebo nahráli vysílání na kazetu.
Tato technologie byla vyvíjena dlouhé roky. Její poslední verze, V.92 dokázala zvukovým kanálem přenést 56/48 kbit/s.
Pokud se omezíme jen na pásmo 18–20 kHz, bude přenosová stále kolem 5kb/s.
A teď si spočítejte, za jak dlouho by se touto technologií přenesl tajný master klíč certifikační autority.
A kolik dat by se dalo přenést v pozadí rozhlasové relace. (Pravda, tam oblast kolem 19 kHz obsadilo kódování stereosignálu. Ale přepne-li vysílač na mono, je tato oblast dostupná.)
-
j (neregistrovaný)
Ale howno custom biosy ... Biosy tu dela tak mozna 5 vyrobcu. Vsichni ostatni poskladaj jednotlivy moduly a maximalne si k tomu udelaji vlastni frontend. Ale uvnitr je to vzdycky totez. Trebas u desktopu to svyho casu bejvel avard a ami, nic jinyho nikde nebylo. Sice to ruzne vypadalo, ale uvnitr bylo dycky totez ...
Jop a az me napadnes, tak sem si skladal pro nekolik desek vlastni bios, vcetne custom modifikaci typu ruzny casovani, prenastaveni chipsetu ... a samo, pridani veci, ktere default nemel. Vubec by nebyl problem primo z biosu nastartovat trebas dos, uplne vpohode by se vesel.
-
Lol Phirae (neregistrovaný)
Pane Čmelíku, krucinál. Běžte si zkusit provést nějakou běžnou "hacking" operaci s BIOSem (např. aktualizace firmwarové části pro RAID řadič) a pak sem zase přijďte tohle plácnout. Až to zvládnete, tak zkuste ten dole zmiňovaný SLIC a přijďte se podělit o to, jak moc to je "univerzální". To je totiž přibližně to, co byste musel udělat s tím malwarem. Co verze BIOSu (pro stejný HW), to jiný problém, jiná oblast, kam se to vůbec dá nacpat, a to se bavíme o jednom pitomém certifikátu o velikosti 374 bajtů.
-
Martin ČmelíkZlatý podporovatel
Mate na mysli treba ten sign certifikat AMI BIOSu, ktery se nasel na verejnem FTP? :]
Flame team kreknul CA certificat Microsoftu o delce 1024bitu a podepisoval si svoje balicky a tim tak infikoval ostatni pocitace na siti.
Hacking BIOSu je popsan hned v nekolika materialech. Na jeden step-by-step jsem jiz odkazoval. Ja osobne to neumim, nemam s tim zadne zkusenosti.
-
Lol Phirae (neregistrovaný)
Mate na mysli treba ten sign certifikat AMI BIOSu, ktery se nasel na verejnem FTP? :]
Pane booože. Ne, nemám. Microsoft Software Licensing Tables.
osobne to neumim, nemam s tim zadne zkusenosti.
To vidíme, netřeba zdůrazňovat. Možná byste svá vyjádření měl omezit na oblast, které rozumíte aspoň "z rychlíku".
-
Martin ČmelíkZlatý podporovatel
hledate si duvody proc by to neslo, zkuste prijit s napadem jak by to bylo mozne realizovat
clanek o modifikace SLICu na ktery jsem odkazoval jste si precetl?
-
Lol Phirae (neregistrovaný)
Prosím vás, tento nástroj samozřejmě znám. Už jste se obtěžoval ten nástroj spustit? A podívat se na položku "method"? Podobné nástroje existují pro AMI, Phoenix/Lenovo/Dell, jiné pro Intel desky, jiné pro HP desky, jiné pro některé desky od Asusu, atd. atd. atd. Tolik jen k "univerzálnosti" řešení. A až se tím prokoušete, zkuste výsledný modifikovaný produkt taky flashnout a - pokud to vůbec bude možné (např. u některých BIOSů se kontroluje digitální podpis a holt máte smolíka) a pokud po flashnutí neskončíte s bricked počítačem tak taky ověřit, že ta aktivace skutečně funguje? Vaše příspěvky jsou fakt zábavné. :-P
-
Martin ČmelíkZlatý podporovatel
ten zmineny digitalni podpis byl na tom verejnem FTP...
v pripade APT utoku i utocnici nabourali celou CA, aby mohli vlozit vlastni binarky do cizi spolecnosti
stale si nemyslim ze je zde technicke omezeni (jen casove, financni) realizace tohoto utoku... je jen slozite
-
Lol Phirae (neregistrovaný)
Kristepane, co sem zas motáte jakýsi leaknutý digitální podpis Awardu? Vůbec jste nepochopil podstatu sdělení. A to je to, že i s pomocí těchto klikacích nástrojů se jedná o těžkou černou magii (a to se narozdíl od toho humbuku s BadBIOSem bavíte o naprosto triviální úpravě spočívající v přidání jedné tabulky). Vaše představa, že stačí vytvořit tři univerzální BIOSy a máte jako hacker vystaráno, je velmi slušně řečeno z oblasti "představujete si to jako Hurvínek válku."
-
Martin ČmelíkZlatý podporovatel
Jak jsem rekl, nemam s tim zkusenosti a bohuzel ani cas se tomu venovat i kdyz me to docela zajima. Chtel jsem vest tu debatu spise smerem k tomu, abyste mi rekl jake moznosti jsou.
Univerzalni BIOS je tim padem neresitelny, nebo presprilis slozity problem, ale na druhou stranu se take u badBIOSu nepsalo, ze by mel byt univerzalni, treba postihuje jen urcity okruh/vyrobce zarizeni.
Takze my dva to zrejme nerozklousknem a musime si pockat na analyzu.
Diky
-
Karel (neregistrovaný)
Chápu to správně tak, že tedy existenci exploitu připoušíte? Že jediné co rozporujete je možnost, že by si ho dokázal zrovna pan Čmelík napsat sám o sobotním odpoledni?
Nebo jen patříte k lidem, kteří mi neuvěří, že může existovat něco jako jaderná elektrárna, pokud ji teď sám o víkendu nepostavím a nepozvu vás na prohlídku?
-
Mirage (neregistrovaný)
Exploitů, virů a podobné havěti je plný internet.
Nezničitelný supervir, který nahraje do biosu každého počítače, je absolutně multiplatformní a komunikuje pomocí mikrofonu a zvukové karty tam nenajdeš. Nejspíš se jedná o scénář nějakého scifi filmu, to by totiž i vysvětlovalo to, proč tam zmiňuje i Čubaku a Evoky.... -
Lol Phirae (neregistrovaný)
Ne, chápete to úplně blbě. BIOS "exploit" se dá zakázkově nasadit na konkrétní, přesně specifikované počítače. Představa, že se následně bude replikovat na libovolný HW, je úplně praštěná. (Hovadiny, jako "telepatická" replikace přes mikrofonové chrastidlo v ceně nula nula prd USD už vůbec neuvažuju.)
-
Karel (neregistrovaný)
To ano, univerzálnost nepochybně problém bude. Možná by i ta šla nějak vylepšit, ale sám nevím jak. Osobně ani na existenci takového programu nevěřím.
Co jsem napadal, je zpochybnění technologie jen proto, že nedokáže přenášet velké objemy dat. Doba na přenesení 20MB dat je irrelevantní ve chvíli, kdy přenášíte jen 20KB dat. A to je objem, který na řadu praktických věcí stačí.
-
Lael Ophir (neregistrovaný)
Jak jsem už linkoval, typický notebook dá s klidem přes 20kHz. Pokud na výstupu není filtr, nemají i velmi levné piezo reproduktory problém jít přes 100kHz. Vestavěné zvukové karty mají od AC'97 (rok 1997) sampling rate 96kHz s 20-bitovými převodníky, a od Intel HD Audio (2004) pak 192kHz s 32-bitovými převodníky.
Rychlost asi nebude závratná, ale nepotřebujete vždycky přenášet zrovna instalační média Windows :). Takových odstředivek v Natanzu je cca 8000, a na popsání stavu každé z nich vám stačí pár bytů. Podobně na označení cílového zařízení a operace vám stačí pár bytů. Podobně je i popis topologie sítě celkem malý.
http://www.symantec.com/connect/blogs/stuxnet-05-disrupting-uranium-processing-natanzPodle mého názoru podceňuje úsilí, které jsou schopni autoři malwaru vynaložit. Koukněte se na Stuxnet (link výše) a Flame; svého času také působilo jako sci-fi, že by malware tiše fungoval po dobu několika měsíců, přepsal firmware v řídících jednotkách odstředivek obohacujících uran, a navíc při jejich ničení podvrhoval falešná data o jejich stavu. A podceňujete další faktor: přenést i jen správných pár bytů na přísně střeženém místě může mít obrovskou cenu.
Jak už jsem psal, může to celé být psychotická epizoda autora původního článku, nicméně to zdaleka není nemožné.
-
Shannon s Kotelnikovem (neregistrovaný)
Příště musíš upřesnit rovnou jak to myslíš (viz tvůj dodatek "piezo reproduktory"), protože člověk pak čučí jak puk cos to kde viděl za zvukovku, když donedávna byl ještě i problém s 16 bitovou digitalizací zvuku s frekvenčním rozsahem 0-20000 Hz.
Obecně při každém podobném přenosu informace může změna vzorkovací frekvence, nebo právě rychlost signálu hrát zasadní roli při přenosu informace.
Osobně si umím představit i daleko sofistikovanější scénáře. Zaznamenali jste někdy rušení elektroniky, nebo dokonce rušení způsobené činností procesoru...
Někde jsem slyšel, že se takhle počítače už deset domlouvají jak se osamostatnit. Prý udělali ohromné pokroky a již nějakou dobu experimentují s ovládnutím mozku některých politiků a Hopkinse.
U nejmenovaných politiků již údajně uspěli a nyní zkouší zda se lidstvo nevyhubí samo.
Od spuštení konečného řešení, pro mrzké dvojnožce, je odrazují jen dočasné problémy související s nechopností lidí vytvořit automatické výrobní linky podle schémat která jim podsunuli (opět zvukem, v porno-pohádkách na dobrou noc) a dále neschopnost programátorů Microsoftu (vědomně spolupracujích, za slíbenou odměnu) opsat správně předkládaný jim kód do zařízení pro soudný den (dlaždička rozhřešení prý stále spouští nevyhovující aplikaci, má mizerný rozměr i barvu, a navíc prý někdo v Microsoftu nepochopil že má být neprůhledná a úplně neprůhlednost v systému bojkotoval).
Já vám ještě prozradím tajemství - někdo bojkotaval i ovladače grafiky, zvuku a sítěových karet. Prostě jako lidstvo máme neznámého spojence. Válka světů a každého s každým se však nezadržitelně blíží a je třeba pozvednout všechny zbraně a zničit se navzájem...Sem se nějak rozjel. Už to nebudu hulit! A nebo si dám ještě práska...
-
Martin ČmelíkZlatý podporovatel
cetl jste tu vetu o tom kdo tuto zpravu napsal a kdo dalsi za nim stoji?
nebudu vam vyvracet kazdy z bodu, protoze uz to udelali pozornejsi ctenari
hlavne nikdy nerikejte ze neco nejde, protoze vyzdycky se objevi nekdo, kdo nevi ze to nejde a udela to
-
KapitanRUM (neregistrovaný)
A) Udělal to, protože nějaké promo a několik naivků mu to sežralo i s navijákem
B) Udělal to, protože měl nějakou duševní příhodu a několik naivků mu to sežralo i s navijákem
C) Udělal to, protože věří, že by to šlo udělat a několik naivků mu to sežralo i s navijákemAno, bohužel jsou jen tyto možnosti, použijte hlavu a nevěřte každé kravině, kterou si vycucá z prstu někdo byť chytrý. Pokud přijde Chuck Norris a řekne o Vás, že jste debil, budete mu věřit?
Až nabídne fungující vzorek viru, pak mu uvěřím, do té doby to je mořská panna chycená v rybníku "Louže" za Lhotou.
-
Lol Phirae (neregistrovaný)
Už jsem to rozebíral na fóru, kam to někdo pastnul včera. Celá "senzace" je neuvěřitelná krávovina podaná na úrovni Blesku, dotyčný autor je u mě totálně odepsaný nez ohledu na to, co dosud předváděl.
He still doesn't know if a USB stick was the initial infection trigger for his MacBook Air three years ago, or if the USB devices were infected only after they came into contact with his compromised machines, which he said now number between one and two dozen.No jistě, protože si při tom "výzkumu" (pokud tedy pominu shora nastíněné myšlenky, že ho buď postihla vážná duševní choroba nebo šlo o praštěné "self-promo", u kterého mu bohužel jaksi nedošlo, že se profesně zcela zlikviduje) počínal jako amatérský pitomec.
Tedy po pravdě řešeno, po přečtení toho výplodu jsem si vzpomněl na vlákno založené jakýmsi zjevným pošukem na MDL fóru. Toho taky pronásledoval záhadný "virus" na jakémkoliv počítači, který si kdekoliv zakoupil. Bohužel jsem si to nedal do záložek. Jenže tam po všeobecném pobavení publika moderátoři diskusi zamkli a nepsali o tom senzační články.
-
Martin ČmelíkZlatý podporovatel
Mam potvrzene ze minimalne jedna z AV firem ma vzorek badBIOSu. Jak jsem ve clanku nekolikrat upozornil, jeste nic neni jiste.
-
Martin ČmelíkZlatý podporovatel
prominte, ale to co tu popisujete jako neexistujici nesmysli jsem uz realne videl... proste malo ctete a pritom argumenty/dukazy mate primo ve clancich na ktere odkazuji
chcete vzorek kodu? vazne si myslite ze je to dobry napad, dat ho z rukou na verejnost? navic, kdyz anitivirove programy jsou proti tomu neucinne? neblaznete
to ze to nedokazete vy neznamena ze to neni mozne
-
Lol Phirae (neregistrovaný)
chcete vzorek kodu? vazne si myslite ze je to dobry napad, dat ho z rukou na verejnost? navic, kdyz anitivirove programy jsou proti tomu neucinne? neblaznete
Prozradím vám tajemství. Proti každému novému viru jsou antivirové programy neúčinné (novým myslím takový, který nepokrývají alespoň generické definice pro daný typ malwaru). Das ist aber hrůza, co? Skoro konec světa. Zejména když si představím ty masy lidí, co si flashují firmware do flash disku přes command-line tooly nebo rozebírají přes podobné nástroje BIOS na jednotlivé části a potajmu obcházejí počítače, aby ho tam nenápadně naflashovali. Případně ho šíří stylem "hele, musím ti pustit fakt super pecka song, tos eště neslyšel!"
Oh noes, we are doomed! :-)))))))))))))
-
Martin ČmelíkZlatý podporovatel
to neni pravda... denne jsou tisice "novych" viru, vychazejicich ze starych a jednoduse identifikovatelnych predchudcu...
problemem jsou polymorfni a metamorfni viry... ktere by vsak mohla odhalit castecne analyza chovani, nebo srovnani vuci vzorku vsech aplikaci/viru v obdobe neuralni site (ne, zas to neni scifi, mrknete na blog avastu "Evo-Gen")
-
Lol Phirae (neregistrovaný)
(novým myslím takový, který nepokrývají alespoň generické definice pro daný typ malwaru).
No nic, místo kravin by ve škole měli učit pochopení čteného textu.
Nicméně pointa celého komentáře směřovala k tomu, že bez publikace čehokoliv relevantního tak, aby to celé mohl zopakovat nezávisle někdo jiný, je to plkání na úrovni žvástů v Blesku.
-
KapitanRUM (neregistrovaný)
http://news.softpedia.com/news/BadBIOS-Malware-Reality-or-Hoax-396177.shtml
Lidi s rozumem vidí Hoax, kdo chce věřit na UFO, věří na UFO.
-
Martin ČmelíkZlatý podporovatel
Kdyz uz tak rad pouzivate pojem UFO, vite vubec co to je a ze to neni nic nadpozemskeho? UFO je jen neidentifikovatelny letici objekt, coz muze byt z uhlu pozorovatele temer cokoliv.
-
Vzorek kodu - link na BIOS dump viz https://twitter.com/dragosr/status/388773435284787200 (zatim kazda analyza a porovnani s blobem BIOS kodu od vyrobce existenci malware vyvraci)
-
Martin ČmelíkZlatý podporovatel
ja osobne si nemyslim, ze slo o jen o BIOS... schovat to lze do firmwaru snad cekoholiv... grafiky, touchpadu, klavesnice, cd/dvd-rom, baterie notebooku, ...
spousta techto pefirefii se vyrabi v jedne tovarne pro vsechny vyrobce notebooku/pocitacumoc se tesim na nove informace
-
Martin ČmelíkZlatý podporovatel
moc nevim co tim chcete/snazite rict
ja prece nikde netvrdim ze to je pravda -
KapitanRUM (neregistrovaný)
A tady domácí úkol:
http://www.cs.vsb.cz/grygarek/LAN/lect/fyzPrincipy.html
Vypočítej, za jak dlouho by se přeneslo ~20 MB při frekvenci 16kHz (notebooky často víc nedají)a se šířkou kanálu 2kHz. Tj. zaplním spektrum 14kHz až 18kHz.
Prostě ZKUSIT ALESPOŇ ZKUSIT POUŽÍT HLAVU.
-
Pavel TišnovskýZlatý podporovatelZalezi na sumu v prenosovem kanalu, presnosti prevodniku atd. Tezko ty parametry dat z hlavy, par stovek baudu by to ale mohlo dat (kdyz uz jsme kdysi protlaceli 2400 Bd pres analogovy ustredny :-). Ale to samozrejme neresi problem tohoto "ufoviru".
-
Mirage (neregistrovaný)
Někde tu je odkaz na projekt a těm se povedlo protlačit 600 Bd/s při použití celého zvukového spektra. Těch 2400 Bd jste dával když jste měl linku pro sebe, v místnosti, kde je hluk, vedle mikrofonu bručí fučák, kde se mluví, kde se píše na klávesnici, to by muselo slušně řvát, aby se povedlo těch 2400 Bd dát. V každém případě mi to nepřijde jakkoliv praktické. Dost pochybuji, že by to uniklo pozornosti.
-
Pavel TišnovskýZlatý podporovatel
jj to samozrejme beru, akorat na analogovych ustrednach jste "linku pro sebe" vetsinou nemel - byly slyset preslechy, bud primo hovory (moc jednoduche filtry) nebo vytaceni pulsni volbou, 50Hz brum tam taky byvalo slyset atd. A navic prumyslovy modemy dokazaly/urcite jeste porad dokazou zpracovat i signal v pripade, kdy kolem projela lokomotiva a naindukovala do vedeni treba 300V ;-)
nerikam tim, ze ta uprava BIOSu popsana v clanku skutecne existuje a funguje, ale okolo zpracovani zvukoveho signalu se udelalo hodne (viz napriklad u nas znamy projekt rozpoznani mluvciho - ale to je asi jina liga nez nejak klicovanej bitstream).
-
j (neregistrovaný)
Jenze rume, minimalne polovina tvych "argumentu" jsou taktez blaboly. Zcela bezne je soucasti uefi trebas webowy browser ... a uplne vpohode prehrava video, a samozrejme to zvukuje.
Bios neni zadnej swab, ale je to zcela standardni pamet, ve ktery je procesorem spustitelny kod. A ten se da uplne vpohode prepsat. Bezne ta pamet ma (v klasickem provedeni) 2MB ... a to je pomerne dost na to, aby se v tom dalo delat lecos - vsecne zvukovani (naprosto vpohode, uvedom si laskave, ze v DOSu se taky zvukovalo a tos casto nemel ani 1MB RAM). Normalni pak je, ze polovina ty pameti je prazdna, proste proto, ze nebyl duvod ji zaplnit. Technicky neni vubec zadnej problem primo z pameti biosu nastartovat system. Sak dos se vesel na daleko min nez 2MB.
Dale, naprosto standardni chovani ... pokud sis stacil vsimnout, je, ze trebas soucasti tiskarny je kus flashky, ze ktery se zcela automaticky nainstalujou ovladace (ve widlich). V tuxovi samo zalezi ... ale nedelam si iluze ze se neda zaridit aby se neco nespustilo.
-
> Jen upozorním, že ne každý DNS server ve firemní síti má povolen i TCP port 53 (DNS) do internetu, protože se primárně používá pro přenos zón, takže můžete teoreticky blokovat i regulérní server.
Ne, DNS server, který se neumí zeptat přes TCP/25 rozhodně není regulérní, ale naopak je to DNS server, který nedodržuje platné standardy, a je zapotřebí jej vyhubit. Prosím netahejte do zpráviček djbičtinu.
-
Rhinox (neregistrovaný)
Poprosil bych nazev toho "standardu" kterej rika ze DNS ma pouzivat taky port tcp/25. Ja totiz nic takoveho nenasel...
https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.txt -
Lael Opir (neregistrovaný)
Zajímavý komentář k badBIOS. Pokud má Dragos psychotickou epizodu, je to ta lepší možnost :)
http://blog.erratasec.com/2013/10/badbios-features-explained.html -
No já vám nevím, tohle i mě zní tak trochu jako ty pohádky o tom, že jsme nepřistáli na Měsíci a že letadla za sebou zanechávají oblbovací drogy.
Pohádka je to hezká, lidé potřebují občas trochu vyděsit, sci-fi už se s realitou prolíná celkem těsně, tak proč si z důvěřivců nevystřelit, když na to máme o ještě o něco lepší než ve své době Wells? :)
Důvody, proč to je nesmysl jsou už vypsané nahoře, škoda, nečekal bych tu hoaxy (i když jsem článek jen rychle prolétl, už jsem to četl jinde, tak třeba je tam na konci vysvětlené jak to je/není opravdu).
No, a pokud čirou náhodou něco takového opravdu existuje, aspoň se ukáže, že jsem měl pravdu, vítej zpět, dobo kamenná :)
-
Martin ČmelíkZlatý podporovatel
"Clanek jsem necetl, ale neni to pravda" prominte, ale takoveto komentare si strcte do /dev/null (tam se toho vejde)
Ackoliv je tu mnoho prispevku, ve vetsine z nich se resi presne to co uz je zodpovezeno ve zdrojich na ktere odkazuji. Dale se tu resi nemoznost implementace nekterych funkcnosti, ktere jiz davno pouziva Flame. A kdyz uz nic, hrube slovo a urazky to jisti.
Ve clanku jsem nepsal, ze neco podobneho existuje a ze veskere jiz zminene informace jsou pravide. Naopak jsem nejmene trikrat upozornil, ze zatim nic neni jiste a ze musime pockat na nove informace.
Mam potvrzeno, ze minimalne jedna AV spolecnost jiz kopii badBIOSu ma, tak je jen otazkou casu, kdy prijde podrobnejsi zprava.Sireni Flamu pres Microsoft updaty se taky zdalo jako Sci-Fi, protoze ty jsou preci digitalne podepsane... a umel toho mnohem vic
https://en.wikipedia.org/wiki/Flame_(malware)
-
Martin ČmelíkZlatý podporovatel
Seznam MD5 hashu souboru na afektovanem systemu: http://www.filedropper.com/dragosr-thinkpad-20131016filelist
Pro nalezeni konkretniho souboru pouzijte napriklad malware.luUSB klicencky se pry ukazou na konferenci PacSec v Tokyu http://pacsec.jp/speakers.html ktera probehne za 8 dnu
Jestli je to cele jen hoax vazne nevim. Arstechnica je imho duveryhodny server, ale proste musime si pockat.
Jestli je na tom neco pravdy, tak jde o vazny problem. -
Chochol (neregistrovaný)
Celé je to přiblblá reklama na ten PacSec. Tam se dočkáme odhalení kterak nás Dragos vyownoval, teda aspoň někoho z nás. Social engeneering v praxi a vy mu to žerete. Je to až trapně průhledné. Aneb kterak si pořídil v létě SDR a ta fascinace vyústila v tuhle přitroublou frašku.
-
celkom pekne zhrnutie doterajsej "sagy" badBIOS je na:
http://www.iamit.org/blog/2013/11/on-badbios-and-bad-behavior/Mna osobne prekvapila(zaujala) jedna vec (...ktoru niekto pastol niekde v komentaroch pri diskusii o badBIOSe) a to je LoJack:
http://en.wikipedia.org/wiki/LoJack#LoJack_for_Laptops
LoJack je 'software' ktory ma sluzit pre Law-enforcment na vyhladavanie a opatovne ziskanie ukradnutych notebookov... avsak ma vsetky znaky malwaru +
(vyrobcovia ho preloaduju do notebookov, aj ked nieje aktivny)
http://www.zdnet.com/blog/security/researchers-find-insecure-bios-rootkit-pre-loaded-in-laptops/3828
http://corelabs.coresecurity.com/index.php?module=Wiki&action=view&type=publication&name=Deactivate_the_RootkitPS: inak treba sem-tam ceknut Dragosov twitter https://twitter.com/dragosr/
napr. tam napisal ze nesedel nad badBIOSom 3 roky(ako to bolo napisane na arstechnike), ale ze klucove objavy su stare cca 1 mesiac + dalsie zaujimave veci ako napr:
Cambridge research audio networking:
http://www.cl.cam.ac.uk/research/srg/netos/uid/audio.html -
RayeR (neregistrovaný)
Drive, kdyz byl cas, jsem se docela zabyval hackovanim BIOSu (jedna relevantni ukazka prace zde: http://rayer.g6.cz/romos/romos.htm ), tak bych k tomuto tematu pridal par myslenek...
Hned na zacatek rikam, ze o tom badbiosu mam malo informaci, takze si netroufam soudit jesi je to fake nebo ne. Nicmene bylo a jsou tu moznosti, ktere by neco takoveho teoreticky umoznovali, i kdyz dat nec otakoveho dohromady by jiste stalo spoustu prace a spis nez na nake nezavisle hackery bych to prisuzoval organizacim jako NSA a pod, kde cas a penize nehrajou roli.Ano hlavnich vyrobcu BIOSu neni mnoho, ti dodavaji vyrobcum MB naky genericky zaklad kery se dal upravuje, takze kuli ruznym konfiguracim HW neni mozne poustet bios pro jeden MB na jinem (i velmi podobnem MB), takze predstava, ze nekdo udela kompletni univerzalni nahradu fake BIOSu je mylna. Nicmene nektere moduly jsou podobne nebo stejne a tam by se dalo zamerit na modifikaci. Spise jen v nakem spolecnem modulu vytvorit hook, kterym se spusti novy modul pridani do image utocnikem. Taky je tu problem s tim, ze kazdy vyrobce BIOSu (i ruzne verze) maji jinou strukturu a nekdy i modifikace (rozlozeni na moduly a slozeni) pomoci standardnich toolu je obtizna. Hlavni vyrobci jsou asi 3 - Award, AMI a Phoenix (nevim jak zrovna ted aktualne), k tomu ale dalsi velci vyrobci (Dell, HP) pouzivaji svoje, kere maji zas jinou strukturu a na ne ani zadne nastroje k dispozici nemam. Samozrejme z pohledu vladnich organizaci tohle nemusi byt prekazka, patrne muzou dostat i zdrojaky a vse potrebne od vyrobcu, pak ta prace jde hned lepe od ruky...
Kdyz se podivate na muj web, tak tam najdete jeden zpusob, jak uz na starych BIOSech bylo mozne vlozit specificky ROM modul (signatuta 55AA, max. velikost 64kB), ktery bylo mozne po POSTu spustit. Ja jsem ho vyuzival k celkem mirumilovnemu ucelu spusteni FreeDOSu primo z BIOSu, pokud napr. selze nebo neni disk ani jine boot medium. Spusteni tohoto ROM modulu (podobne jako bootrom sitovky) je podmineno zapnutim v setupu, ale i to by se dalo patrne obejit. Tusim ze rusky program BIOS patcher neco takoveho umel. Pak uz jen staci vytvorit dropper se zabudovanym flashovacim programem, kery ziska ring0 prava nebo je nak vyexploituje aby mohl provest flashnuti a je celkem velka sance, ze se to na MB beznych vyrobcu uchyti...
Do tech 64kB ROM modulu se toho da napsat docela dost. Me se tam veslo jadro FreeDOSu, osekany command.com, 2-panelovy spravce souboru MikroManazer a par utilit. Dnes kdy kazdy novy CPU podporuje virtualizaci, tak by stalo za to tam nakodit naky jednoduchy hypervizor. Uz jsem o tom cetl nake dokumenty, ze timto zpusobem lze vytvorit pro OS docela tezko zistitelny malware a nejaky proof of concept snad tez existuje. Zkratka ten ROM modul nacte do pameti hypervisor (VMM) a pak pod nim ve VM normalne pusti OS. OS si toho nemusi vsimnout, v CPU totiz neexistuje naky flag, kery by primo rikal ted bezim ve VM, virtualizace je az prilis dokonala. Samozrejme jsou techniky jak to zistit, treba podle mereni casu nakych instrukci atd, coz se zas muze pokouset VMM nejak skryvat... VMM bezici na pozadi nemusi delat vecunu doby skoro nic, takze si tezko nekdo neceho vsimne. Muze treba odchytavat komunikaci s klavesnici a sitovou kartou, tech hezkych veci se da vymyslet spousta... Navic muze i aktivne branit preflashovani cisteho biosu od vyrobce, takze pak nezbyde nez vypajet brouka a prehrat vedle (pokud ten zmetek mezitim neinfikuje treba este VGA BIOS :)
Co se tyce to komunikace po audiu. Nekdo se tu holedbal HDA 192k/32b - jen si zmerte skutecny SNR kolik bitu realne ma ta shitova onboard zvukovka dynamiky. K tomu pripocist sum mikrofonu, ruseni v mistnosti atd. Na nake veci vzdalenosti bych tomu moc neveril. Nicmene komunikace by mohla teoreticky probihat na f pobliz 20kHz, kde uz skoro nikdo neslysi (ja uz s vekem tech 20k nedavam) nakou robustni pomalou modulaci, napr. prepinai 2 blizkych frekvenci, neco na zpusob DTMF, kera je docela odolna a da se dekodovat i pod prahem sumu). Pokud by na to dorozumivani mely pocitace cely den, tak by treba par desitek kB slo prenest...
Dalsi vec, kera to dnes zjednodusuje je UEFI. Do toho jsem se zatim osobne nerypal, ani nemam patricne tooly, ale co vim, je velka cast UEFI kodu postavena na nakem opensource frejmworku, kery si upravuji vyrobci a doplnuji o specificke binarni moduly treba na init inteliho radice pameti. Nicmene se tim platforma dosti sjednocuje a tim i klesa potreba ruznych variant. Navic UEFI musi byt tak 10x komplexnejsi a slozitejsi nez stary BIOS a umerne tomu tam bude i chyb, kere pujdou vyexploitovat. A kolik lidi casto nebo vubec BIOS upgraduje ze... Navic UEFI je diametralne odlisne v tom, ze bezi v pmode a prinasi mnohem sirsi API a spoustu pokrocilych driveru treba na USB zarizeni, SVGA, FAT32 FS, je to v podstate maly OS. Takze UEFI aplikace uz nemusi mit vendor sepc. drivery na vsechny periferie ale vyuzije prave ty UEFI drivery, coz zjednodusuje psani a velikost kodu. Navic velikost flash chipu se neustale zvetsuje, ja mam na desce treba 0,5MB SPI flash, ale dnes je bezne klidne 8MB aby se tam vesly ty zasrany omalovanky a este spousta mista zbyde, takze v tomhle uz dnes neni problem.
Taky bych upozornil na technologii intel Vpro ci AMT
http://en.wikipedia.org/wiki/Intel_Active_Management_Technology , coz uz je v podstate sam o sobe takovy rootkit pro vzdalenou spravu PC, kery umoznuje i takove veci jako zapnuti pres LAN a nainstalovani OS. Takze by stacilo, kdyby ten malwer tyhle funkce vhodne vyuzil a zpristupnil vzdalenemu utocnikovi.No proste ritime se do jedne velke prdele, tak abych to na zaver odlehcil, tak kdo neznate, prectete si skvelou (nadcasovou) povidku Troglodyt a Maska
http://josef.pecinovsky.cz/Povidky/MASKA.htm
:)
// psano dost ve spechu, tak prosim grammar_nazi=0 -
RayeR (neregistrovaný)
Co jsem si precetl ten clanek na arstechnica.com, tak to zni dost pochybne, bezpecnosti expert s tim "bojuje" uz 3 roky a pritom zadne konkretny vysledky, DASM modulu, ze by ho napadlo treba preflashnout cip v programatoru.
Docela pritazeny za vlasy mi pride, ze by infekce z USB klice probihala nakym buffer overflow. USB komunikaci prece obsluhuji konkretni ovladace USB xHCI, kery sou na kazdy platforme napsany jinak a v ruznych verzich. BIOS pouziva vlastni obsluhu jen kdyz je zapla v podpora pro legacy USB, kde pak v DOSu pridava rozsireni INT13h a umoznuje tak pristup DOSu na flashdisky. Takze tam by teoreticky mohla byt chybka, ze by nak vhodne upraveny USB device deskriptor zpusobil buffer overflow a nasledne spusteni nakeho kodu. Totez pri pokusu bootovat z takove flash. Ale pokud uz tam bezi treba linux a zasunu USB, tak si to resi kernel driver a ne BIOS. Mozna je to jinak u UEFI, ale nevim o tom, ze by se na UEFI PC v normalnim OS pouzival jiny USB driver (iterni UEFI) nez na neUEFI (kernelovy)...
ČLÁNKY DO MAILU
