Источники:

1. www.securviewmag.com

2. Метрики для управления ИТ-услугами Брукс П. изд. Альпина Паблишер 2008 г.

Методы и способы использования современных микроконтроллеров для вторжения в защищенные системы (фрагмент конкурсного проекта нттм - нирс)

В.В. Шепелёв, практикант, магистрант каф. КП РЭС

В.В. Сидорин, руководитель, проф., д.т.н.

Рост качества и культуры электронной промышленности во всем мире и в Юго-Восточной Азии особенно приводит к тому, что рядовой пользователь, системный администратор или менеджер по оценке рисков в среде информационных технологий вынужден на регулярной основе анализировать, управлять и искоренять стабильно высокий вал угроз. И при наличии хорошей подготовки и доступа к корректно настроенному ПО и аппаратным частям эта рутина выглядит как стабильная, ровная борьба с мошкарой, комарами. При должном менеджменте, урон нивелируется до уровня комариных укусов, укладывающихся в стандартный раздел амортизации. Но есть такие «комариные укусы», которые способны поставить, буквально, на грань выживания предприятие, производство, объект, персонал.

В этот раз угроза замаскировалась под безобидным названием Teensy. Teensy – это программируемый контроллер с USB интерфейсом. ЕЕ ключевые особенности:

• USB может представлять любое устройство

• Процессор AVR, 16 MHz

• 32 Кб ROM

• Дополнительные порты ввода-вывода

• Запуск одним нажатием

• Простой и удобный загрузчик

• Бесплатные инструменты разработки

• Совместимость с Mac OS X, Linux & Windows

• Компактный размер (с ноготь пальца)

• Стоит чуть дороже песка, из которого изготовлен (менее 1000 руб. с учетом пересылки)

Данный тип устройств уже снискал себе дурную репутацию за счет того, что «атакующая» сторона научила его мимикрировать под HID-устройство – клавиатуру, мышь и.т.д.

Отметим, что подавляющее большинство политик безопасности запрещает подключение переносимых устройств хранения, но клавиатуры, мыши и подобные устройства, чаще всего, в этот список не входят.

Поэтому, наиболее старая, известная и проверенная атака с использованием Teensy – эмуляция клавиатуры с последующим вызовом оболочки и выполнение заложенного кода.

Кстати, заложенный код – пэйлод (payload) может быть и весьма специфичным, и весьма сложным.

Совершенству нет предела, и люди, придумавшие как использовать Teensy в роли «электронной отмычки», прекрасно понимают это. Так появился на свет набор разработчика под кодовым обозначением «Каутилья». Имя взято из индийской мифологии и чаще всего обозначает крупную мифологическую фигуру и личность – брахмана, известного в летописях также как Вишнугупта и Ватьсяяна, приложивший много сил, чтобы возвести на царствие Чандрагупту – первого в истории Индии объединителя земель.

Каутилья был знаменит своей хитростью и тонким умом. Ему также приписывается авторство первой книги, в которой сформулированы принципы деятельности спецслужб. Не удивительно, что программный аналог этого брахмана мало в чем уступает своему тезке. Разумеется, с поправкой на время действия и среду действия.

Простая бытовая аналогия позволит продемонстрировать универсальность «Каутильи». В то время как Teensy можно сравнить с шуруповертом, «Каутилья» - это обширный набор насадок, призванных решить одну задачу (проникновение в систему или инфраструктуру), но очень разными, варьирующимися способами (насадками).

Как работает эта связка

«Каутилья» формирует два наполнения: один работает до проникновения, второй соответственно – после. Наполнение – пэйлод – комбинация команд операционной системы, встроенных инструментов и скриптов. Механика и аппаратные требования ограничиваются Teensy.

Типовое применение может заключаться, но не ограничиваться:

• Кейлоггером (keylogger) – утилита выполнена и выполняется через расширяемое средство автоматизации – пауэршелл (powershell), зафиксированные нажатия и клики через определенный интервал скидываются в pastebin (инструмент совместной отладки кода). Отдельный скрипт анализирует «находки».

• Аналог майкрософтовского анинсталлера. Выполняется через пауэршелл. Достаточно указать название неугодной программы. Пользователь не видит сообщений об удалении.

• Сборщиком информации. Опять таки через пауэршелл специаль­ный скрипт вытягивает необходимые куски записей регистра в pastebin. Доступность регистра определяется правами учетной записи.

• «Загрузить и исполнить». Возможность загрузить из Google Docs и исполнить непосредственно исполняемый файл или с конвертированного в текстовый файл «экзешника». Исполнительный файл пересобирается и запускается.

• MSF Модули. Telnet (сетевой протокол для реализации текстового интерфейса по сети) и RDP (Remote Desktop Protocol – включение означает прямую угрозу безопасности).

• Сетевой «сниффер». Исполняется специальным скриптом. Результаты загружаются на удаленный ftp-сервер.

• Уничтожитель защиты браузеров. Набор плагинов и скриптов «выносят» известные им программы

• Комбинация Sethc и Ultiman. Если проведена успешна, то захватывает абсолютный контроль над заблокированным компьютером

• Хэшдамп. Сбор хэшей набранных пользователем паролей. Запускается в виде задачи с системным приоритетом. Результат отправляется в pastebin.

• Реализация пиратской беспроводной сети на атакуемой машине.

• Прочее: замена HOSTS, DNS, взлом Twitter-аккаунта и т.д.

• Пэйлоды под Линукс. По спектру задач не уступает, всему выше опи­санному, но часто бесполезны из-за того, что требуется уровень дос­тупа root.

Ограничение подобных контроллеров есть и они достаточно серьезны. Начать можно с крайне малого объема памяти. Немного расстраивают новости о том, что умельцы приспособили SD-карту к Teensy, но это пока на уровне слухов. Другой важной уязвимостью Teensy можно считать то, что и тем, что контроллер не может реагировать на действия атакуемой системы. Следующим немаловажным фактором является работа с Google Docs и Pastebin – они являются непременными участниками изготовления пэйлодов.

В будущем текущие недостатки непременно будут сглажены, а сильные стороны - максимализированы, поскольку Teensy представляет собой такой изящный, элегантный и простой тип современной «электронной отмычки», что остается только процитировать системным администраторам, менеджерам по оценке риска в IT-сфере слова самого Каутильи: «Как только вы начали работать над чем-то – не бойтесь провалов и не бросайте свое дело. Люди, работающие искренне и с душой – самые счастливые на Земле».