TROJAN HORSE & ROOTKIT

Transcript

1 Università degli Studi di Salerno Trojan Horse Verifica dell'integrità dei comandi di sistema: TROJAN HORSE & ROOTKIT E un "programma apparentemente utile, ma che contiene funzioni nascoste atte ad abusare dei privilegi dell'utente che lo esegue" [Summers - Secure Computing Threats and Safeguards] In che modo riesce ad abusare dell ambiente operativo, minacciandone la sicurezza? a cura di: G. Cozzolino F. Varriale G. De Girolamo D. Bindo Trojan Horse - Meccanismo di Infezione I trojan horsesi presentano sotto forma di: Screen saver Videogames da desktop Piccole utility Update dei comandi di sistema Le vie di infezione sono le più comuni: Floppy CD-Rom Download da Internet Allegati alle Trojan Horse - Meccanismo di Infezione (1) Non esiste una regola ben precisa nel progettare un trojan horse. Tuttavia, si è notato che molti di essi osservano il paradigma Client / Server Il Client risiede sul computer dell'attaccante Il Server è posto sulla macchina della vittima Trojan Horse - Meccanismo di Infezione (2) Appena viene mandato in esecuzione, il trojan horse installa ed esegue il programma Server sulla macchina della vittima. Contemporaneamente, però, compie tutte le inoffensive operazioni di "copertura". Trojan Horse - Meccanismo di Infezione (3) Il Server si mette in ascolto su una o più porte TCP/IP. Attende ed accetta le connessioni su tali porte da parte di uno o più Client. L intruso è libero di mettere a segno il suo attacco: Manipolazione del filesystem Lettura di informazioni confidenziali Denial of Service

2 ie0199.exe Diffusosi a partire dal gennaio 1999 come allegato alle Finge di essere un upgrade gratuito del browser Internet Explorer di Microsoft Caratteristiche: Non segue l architettura Client / Server Affligge le piattaforme Windows Porta un attacco DoS verso più sistemi remoti ie0199.exe (1) Dopo che il file ie0199.exe (28 kbyte) viene eseguito: 1) Il falso processo di aggiornamento termina con un comune messaggio d errore 2) Vengono creati i file sndvol.exe e mprexe.dll nella directory di sistema 3) Viene modificato il file system.ini in modo tale da caricare mprexe.dll ad ogni boot 4) Viene alterato il registro di configurazione al fine di rilevare la connessione ad Internet ie0199.exe (2) Regole generali per difendersi dai trojan E quando ci si connette ad Internet: 5) Vengono create diverse connessioni TCP verso tre server remoti 6) I tre server remoti vengono sommersi da migliaia di inutili pacchetti ICMP Denial of Service Evitare di installare software di dubbia provenienza Limitare l'esecuzione di applet java e controlli ActiveXnelle pagine web Installare un antivirus ed aggiornarlo di frequente Impegare un firewall per monitorare le connessioni Utilizzare protocolli ritenuti sicuri: SSL, PGP, Kerberos Tool di difesa in ambiente Windows Rootkit AntiTrojan 5.5 PestPatrol Tauscan 1.6 Trojan Remover Digital Patrol E una raccolta di tool che un intruso installa sulla macchina vittima dopo essersi guadagnato un accesso non autorizzato alla stessa Caratteristiche comuni: Scansione delle porte TCP/IP Controllo dei file di sistema Visualizzazione di tutti i task in esecuzione Scansione del registro di configurazione Lo scopo principale è quello di permettere all'intruso di poter ritornare al sistema compromesso senza essere scoperto!

3 Rootkit (1) Rootkit - Come Agisce? È composto da tre elementi: le versioni trojan delle utility di monitoraggio del sistema un network sniffer alcuni script di "pulizia" dei file di log del sistema Installa un demone di accesso remoto munito di backdoor Rimpiazza gli eseguibili di molti comandi di sistema (ps, who, netstat, ecc.) con le relative versioni trojan si mette in ascolto su porte diverse da quelle utilizzate dai demoni originali, pronto a soddisfare le richieste di connessione da parte degli attaccanti in modo tale da poter "nascondere" le azioni degli intrusi Network sniffer Il network sniffer permette all'attaccante di tenere sotto controllo tutto il traffico dei dati in ingresso e in uscita dal sistema File di log I file di log tengono traccia di tutte le operazioni compiute dagli utenti di un sistema. Un buon amministratore di sistema dovrebbe controllare periodicamente i file di log. I rootkit contengono script che hanno il compito di "purificare" i log di sistema, nascondendo la presenza di un intruso. Rootkit LKM LKM (Loadable Kernel Module) è una tecnologia che permette di aggiungere nuove funzionalità al kernel del sistema operativo senza doverlo ricompilare. Largamente impiegata nei sistemi Linux, Solaris e FreeBSD. Rootkit LKM (1) In ambiente Linux, il comando ps elenca i processi attivi Attinge alla directory /proc Il servizio procfs controlla la directory /proc Un rootkit LKM può nascondere determinati processi al controllo di procfs I rootkit LKM non sostituiscono gli eseguibili di sistema Aggiungono dei moduli maliziosi al kernel Alterano il funzionamento dei comandi attraverso il kernel stesso Soluzioni: Calcolare e conservare il valore hash dei moduli originali per confrontarli con quelli estranei Disabilitare la modalità LKM e compilare staticamente i nuovi moduli

4 Il Sistema è compromesso? Il Sistema è compromesso? (1) Piccole anomalie del sistema possono rivelare gravi segni di compromissione: Comportamento irregolare dei comandi di sistema Forte utilizzo della banda di comunicazione rispetto al normale Possibile spiegazione: un intruso può averli sostituiti con delle versioni scritte ad hoc per nascondere attività maliziose e compilati con opzioni differenti da quelle usate di solito. Possibile spiegazione: un intruso sta usando il sistema per distribuire illecitamente del software protetto da copyright. Come difendersi? Per evitare l installazione di un rootkit bisogna fermarne l ingresso: Installare un firewall Disabilitare i servizi non necessari Applicare le patch al software di sistema Usare protocolli sicuri Tripwire: Principi di funzionamento A partire da uno stato ritenuto sicuro viene creata una "istantanea" del filesystem contenente tutte le informazioni di partenza del sistema. Da questo punto in poi, grazie alla definizione di adeguate politiche di controllo, sarà possibile vigilare sulle alterazioni. Disponibili sul mercato: E poi Tripwire for Web Pages Tripwire for Routers & Switches Tripwire Manager e Tripwire for Servers Tripwire OpenSource E la versione di Tripwire per Linux, distribuita sotto licenza OpenSource e scaricabile gratuitamente dal sito Tripwire é composto da quattro elementi: Il database dei file di sistema Il file di policy I file di report Il file di configurazione Il database dei file di sistema Il database dei file di sistema contiene una "fotografia" del filesystem. Tale "fotografia" consiste nel memorizzare per ogni oggetto: Il nome completo Il tipo L'ID del dispositivo fisico Il numero dell'inode I diritti di accesso Il numero di hard link L'ID dell'utente proprietario L'ID del gruppo proprietario La dimensione La data e l ora dell ultima modifica Il numero di blocchi necessari a memorizzarlo Il valore hash calcolato mediante una o più funzioni a scelta tra CRC32, MD5, HAVAL e SHA

5 Il file di policy Il file di policy é l insieme delle regole che specificano l identità e le proprietà degli oggetti da monitorare. I file di report I file di report sono il riassunto dei controlli di integrità effettuati. Il file di configurazione Il file di configurazione serve a memorizzare i settaggi di Tripwire. Tripwire OpenSource: Sicurezza La sicurezza del prodotto si basa su due primitive: Funzioni hash Firma digitale Ogni oggetto memorizzato nel database è corredato da almeno un valore hash a scelta tra: CRC32 MD5 HAVAL SHA (32 bit di output) (128 bit di output) (128, 192 o 256 bit di output) (160 bit di output) Ogni modifica viene facilmente individuata Tripwire OpenSource: Sicurezza (1) I file critici di Tripwire vengono memorizzati in un formato binario interno e protetti mediante lo schema di firma digitale di El Gamal a 1024 bit. Vengono impiegati due key file: Site key file Contiene la coppia di chiavi pubblica / privata per la firma del file di policy e di configurazione Local key file Contiene la coppia di chiavi pubblica / privata per la firma del database e dei report Tripwire OpenSource: Sicurezza (2) Per modificare un file critico bisogna conoscere la relativa chiave privata. Ogni chiave privata è cifrata con una passphrase: Site passphrase Per cifrare la chiave privata contenuta nel Site key file Local passphrase Per cifrare la chiave privata contenuta nel Local key file Il cifrario impiegato è il DES triplo in modalità ECB

6 Tripwire OpenSource: Modalità Tripwire può essere eseguito in cinque diverse modalità operative: 1. Database initialization 2. Integrity checking 3. Database Update 4. Policy Update 5. Test 1. Database Initialization In questa modalità viene creato il database dei file di sistema, basandosi sulle regole contenute nel file di policy. Questo passo ha bisogno di essere eseguito solo la prima volta che il software viene installato. Comando: tripwire --init 2. Integrity checking Questa modalità permette di confrontare il database con gli oggetti attualmente residenti nel filesystem. Il risultato di tale confronto viene posto in un report, il quale conterrà tutte le violazioni alle regole specificate nel file di policy. 3. Database Update Tale modalità permette di aggiornare o meno il contenuto del database in base alle informazioni raccolte in un particolare report. Questo processo non comporta la riscrittura ex-novo dell'intero database. Comando: tripwire --check Comando: tripwire --update - twrfile <nome_report.twr> 3. Database Update (1) 4. Policy Update Con questa modalità è possibile sincronizzare il database ed il file di policy dopo aver apportato qualche modifica a quest'ultimo. Anche in questo caso non c'è bisogno di rigenerare daccapo il database. Comando: tripwire --update-policy <file_policy.txt>

7 5. Test Tripwire OpenSource - Struttura Questa modalità serve a provare l'effettivo funzionamento del sistema di notifica di informazioni tramite . Comando: tripwire --test -- <user@domain.com> Personalizzare il file di policy Modificando il file di policy è possibile: Monitorare i nuovi file che vengono aggiunti di volta in volta al filesystem Ridurre il rischio di falsi allarmi (file eliminati o non più utilizzati, ma che Tripwire segnala come mancanti o modificati) Un file di policy è composto da cinque elementi: Regole Stop Points Attributi Direttive Variabili Regole Sono i componenti basilari del file di policy. Specificano il modo in cui Tripwire deve monitorare il sistema durante il controllo dell'integrità. In generale, il formato di una regola è il seguente: nome dell'oggetto -> proprietà della maschera; Stop Point Specificano gli oggetti che non devono essere scanditi durante il controllo dell integrità. Il formato di uno stop point è il seguente:! nome dell'oggetto; Attributi Forniscono delle informazioni aggiuntive alle normali regole: rulename Associa un nome ad una regola che raggruppa più file Per eseguire un controllo di integrità utilizzando solo questa regola basta digitare il comando: tripwire --check --rule-name rcfiles

8 Attributi (1) Attributi (2) to Specifica gli indirizzi di posta elettronica ai quali notificare una violazione severity Associa un livello numerico di severità ad una regola. Il range valido và da 0 a Per eseguire un controllo di integrità ignorando la regola definita per /usr/lib basta digitare il comando: tripwire --check --severity 80 recurse Attributi (3) Controlla la scansione della directory, indicando fino a quale livello di ricorsione spingersi a partire da un path Direttive: Direttive e Variabili Sono funzioni avanzate simili alle direttive utilizzate dai preprocessori dei compilatori. Il loro compito è quello di permettere l'esecuzione condizionata delle regole, nonchè di effettuare operazioni di diagnostica e di debugging. Variabili: Hanno la stessa funzione delle usuali variabili impiegate nei linguaggi ad alto livello, ossia permettono di associare un valore ad un nome. Vengono impiegate per definire comodi alias delle maschere più usate nel file di policy. Conclusioni Tripwire non basta a garantire la totale sicurezza di un sistema. Per ottenere un alto grado di difesa è bene impiegarlo in congiunzione con un firewall ed altre tecnologie di "intrusion detection". Inoltre, non bisogna dimenticare l assunzione di base: il sistema si trova in uno stato sicuro quando Tripwire viene installato. Se il sistema è già compromesso, Tripwire non può fornire alcun aiuto.