Apresentação do Marcelo
Propaganda
SubVirt: Implementing malware with virtual machines Samuel T. King Peter M. Chen Yi-Min Wang Chad Verbowski Helen J. Wang Jacob R. Lorch University of Michigan Microsoft Research Motivação • Atacantes e sistemas de defesa lutam por controle – Atacantes monitoram e perturbam a execução do sistema • Para evitar a detecção por parte dos sistemas de defesa – Sistemas de defesa detectam e removem o atacante – Controle das camadas mais baixas Atacantes App1 App2 Sistema operacional Hardware Sistemas de defesa Virtual-machine based rootkits (VMBRs) • VMM roda abaixo do sistema operacional – Efetivamente um novo nível de privilégio do processador • Fundamentalmente mais controle • Sem estados ou eventos visíveis • Fácil desenvolver serviços maliciosos Virtual-machine based rootkits (VMBRs) App1 App2 Sistema de ataque App1 Sistema alvo Sistema alvo VMM Hardware Hardware Antes da infecção App2 Após a infecção Resumo do Trabalho • Instalar o VMBR • Manter o controle • Rodar serviços maliciosos • Defesa contra VMBR Perspectiva do atacante Perspectiva do sistema de defesa • Implementação de prova de conceito Instalação do VMBR • Assume que o atacante possui privilégio de kernel – Exploit remoto tradicional – Subornar empregado – CD-Rom bootável malicioso • Instalação durante o shutdown – Poucos processos rodando – Esforços para evitar detecção da atividade de instalação do VMBR Instalação do VMBR • Modificação da sequência de boot Master Boot boot BIOS record sector OS Instalação do VMBR • Modificação da sequência de boot BIOS VMBR loads Master boot Boot BIOS record sector OS Manutenção do Controle • VMBR perde controle em caso de reset do hardware – Ilusão de reset para não perder o controle – Reboot fácil, shutdown difícil BIOS VMBR loads Master boot Boot BIOS record sector OS Manutenção do Controle • ACPI BIOS usada para entrar em modo low power – Desliga os discos – Coloca monitor em modo low power – Altera LED power • Ilusão de desligamento, emulação de shutdown • Controle sobre o botão power • Funcionalidade do sistema não modificada Serviços Maliciosos • Vantagens de dois lados (alto nível e baixo nível) – Prover implementação de baixo nível – Ainda assim torna fácil a implementação de serviços • Uso de um attack OS em separado App App1 Attack OS App2 Target OS VMM Hardware Serviços Malicisos • Serviços com interação zero – phishing web server • Monitoramento passivo – keystroke logger, file system scanner • Modificação ativas da execução – Evitar técnicas de detecção de VMM • Todos fáceis de implementar Defesa contra VMBRs • Detecção de VMBRs – Perturbações geradas • Onde rodar o software de detecção Perturbações geradas pelo VMBR • Inerentes – Tempo de execução – Espaço ocupado pelo VMBR Díficil de esconder • Hardware – Diferenças entre dispositivos – Processador não completamente virtualizado • Software – Ícone da VM – Nomes dos dispositivos Fácil de esconder Sistemas de defesa (rodando acima do VMBR) • Estado do atacante não é visível – Só pode detectar efeitos adversos (ex. timing) • VMBR pode manipular a execução – – – – Relógio controlado pelo VMBR Evitar a execução de serviços de defesa Desligar a rede Desabilitar notificação de intrusão Sistemas de defesa (rodando abaixo do VMBR) • Mais controle, acesso direto aos recursos – Pode detectar estados ou eventos do VMBR • VMM segura e/ou hardware seguro • Boot de uma mídia segura – Desplugar máquina da energia elétrica Prova de conceito • VMware / Linux host • Virtual PC / Windows XP host • OS atacante é o sistema hospedeiro • Imagem do malware de ~100MB (comprimida) • ISA não completamente virtualizada – Evitar degradação de desempenho • Dispositivos emulados por software – Sistema hospedeiro possui muitos drivers Prova de Conceito • Quatro serviços maliciosos implementados – – – – Phishing web server Keystroke logger + password parser File system scanner Contramedida a sistema de detecção • Scripts de instalação and modules do kernel • Emulação de ACPI shutdown – Sleep states e botão power Conclusão • Ameaça realista – Quantitativamente mais controle – Ainda assim fácil de implementar o malware – Prova de conceito pode ser detectada – Melhorias de hardware podem tornar VMBR mais efetiva • Defesa é possível – Melhor maneira é controlar camadas mais baixas
