TigerTeam - suomalainen tietoturvablogi

Seurasitpa sitten suomenkielisiä tai kansainvälisiä it-uutisia olet hyvin todennäköisesti törmännyt termiin zero-day (tai zero day). Juuri joulun alla saatiin vahvistus Internet Explorerin paikkaamattomasta CSS-haavoittuvuudesta, joka on tyypillinen esimerkki nollapäivätyyppisestä haavoittuvuudesta. Loppuvuoden aikana nollapäiväaukkoja on ollut useasti Flashissa ja Adobe Readerissa ja niitä on myös hyödynnetty.

Suomen kielessä käyttöön ovat vakiintuneet pääasiassa termit nollapäivähaavoittuvuus (tai -aukko) ja zero-day-haavoittuvuus.

Nollapäivä tarkoittaa sitä, että haavoittuvuuden julkitulon ja hyödyntämisen väliin mahtuu nolla vuorokautta.

Hyödyntäminen todentaa haavoittuvuuden olemassaolon ja esimerkiksi sen, että toimiva verkkomato on pystytty kehittämään.

Käytännössä hyökkäysten alkamisen ja haavoittuvuuden julkitulon väli on siis kirjaimellisesti nolla päivää.

Nollapäivään ei korjausta saatavilla

Nollapäivähaavoittuuvuudelle on ominaista myös se, ettei siihen ole valmistajan korjauspäivitystä saatavilla.

Termi Zero Day on myös ZERT-ryhmittymän nimen innoittaja (Zeroday Emergency Response Team), ZDNetin tietoturvablogi, osa Zero Day Initiative -haavoittuvuusjulkistusohjelman nimeä ja ei-tietoturvamaailmassa mm. elokuva ja hip hop-albumi. ZERT on tietoturva-ammattilaisten ryhmä, joka julkaisi vuonna 2007 tilapäiskorjauksen Windowsin kohdistimienkäsittelyä koskevaan nollapäivähaavoittuvuuteen ennen virallisen korjauspäivityksen julkaisua.

Myöhemmin tällaisia epävirallisia korjauspäivityksiä on nähty aina silloin tällöin muihinkin nollapäivähaavoitttuvuuksiin, mutta hyvin harvinaista niiden julkaiseminen kuitenkin on.

Kirjoitus aloittaa termit tutuksi -tyyppisen kirjoitussarjan, joka tutustuttaa tietoturva-alan – erityisesti haavoittuvuuksiin liittyviin – termeihin ja lyhenteisiin.

Kesällä havaittu Stuxnet-haittaohjelma on paljastunut analysoinnin edistyessä monella tavalla merkilliseksi ja ainutlaatuiseksi tapaukseksi. Vähitellen eri tahoilta tihkuneet tiedot alkavat saada jo vakoiluromaanimaisia ulottuvuuksia, joten lienee paikallaan hetkiseksi pysähtyä pohtimaan mitä oikein on tapahtumassa.

Haittaohjelman löysi kesäkuussa valkovenäläinen VirusBlockAda-tietoturvayritys erään iranilaisen asiakkaansa tietokoneesta. Aluksi se vaikutti varsin tavanomaiselta USB-tikkujen kautta leviävältä madolta, jonka merkittävin ominaisuus oli Windowsin ennalta tuntemattoman .LNK-tiedostojen käsittelyyn liittyvän haavoittuvuuden käyttö leviämistienä. Kun madon tartuttama USB-muistitikku kytketään tietokoneeseen, siellä piilotteleva ohjelma käynnistyy automaattisesti ja asentaa käyttöjärjestelmään välittömästi ns. rootkitin, jonka avulla se kätkee itsensä näkyvistä.

Tarkkaan katsomalla voi nähdä kuinka avautuvassa resurssienhallinta-ikkunassa vilahtaa kuusi tiedostoa, jotka kuitenkin häviävät hetken päästä. Muut tikulla olevat tiedostot näkyvät normaalisti ja kaikki vaikuttaa olevan kunnossa, mutta konepellin alla käy kuhina: uusia prosesseja käynnistetään, valmiiksi käynnissä oleviin lisätään uutta ohjelmakoodia ja tunnistetut virustorjuntaohjelmat lamautetaan. Vain tavallista vilkkaammin vilkkuva kiintolevyn merkkivalo saattaisi antaa aihetta olettaa että jotain outoa on tekeillä, mutta Tehtävien ja Palveluiden hallinta näyttävät vain tuttujen ja turvallisten ohjelmien olevan käynnissä, koska rootkit piilottaa niistä Stuxnetin lisäämät osat.

Ajurit kavalasti allekirjoitettuja

Huolestuttava piirre Stuxnetissa on se, että se onnistuu asentamaan tartuttamiinsa järjestelmiin huomaamatta uusia laiteajureita, vaikka uudemmissa Windows-versioissa näiden käyttöjärjestelmäläheisten osien tulee olla digitaalisesti allekirjoitettuja. Se johtuu siitä että ajureilla onkin hyväksyttävä, VeriSignin taiwanilaiselle Realtek-yritykselle myöntämällä varmenteella tehty allekirjoitus. Myöhemmin havaitiin myös muunnos, jossa oli käytetty niin ikään taiwanilaisen JMicronin varmennetta. On erittäin harvinaista että ohjelmistojen allekirjoittamiseen myönnetyt varmenteet päätyvät vääriin käsiin, saati sitten kahden eri yrityksen.

Suurin osa Stuxnetin sisältämästä ohjelmakoodista on salakirjoitettu, joten otti aikansa ennen kuin sen varsinaiset tarkoitusperät alkoivat selvitä. Heinäkuun puolivälissä tietoturvatutkija Frank Boldwein onnistui purkamaan salakirjoituksen ja kansainvälisen tietoturvayhteisön mielenkiinto heräsi. Kävi nimittäin ilmi, että Stuxnetilla oli hyvin täsmällinen kohde: Siemensin Step 7 -prosessinohjausjärjestelmä, jota käytetään yleisesti teollisuuslaitoksissa ja voimaloissa. Stuxnet aktivoitui vain jos tartunnan saaneeseen tietokoneeseen oli asennettu järjestelmän WinCC-ohjaus- ja seurantaohjelmisto, muussa tapauksessa se tyytyi vain levittämään itseään lähiverkkoyhteyksien välityksellä naapurikoneisiin ja tartuttamaan koneessa käytetyt muistitikut.

Tässä vaiheessa Tofino Securityn Eric Byres arveli, että kysymys on teollisuusvakoilusta, koska kohteensa löydettyään Stuxnet tekee WinCC:n tietokantaan joukon kyselyjä ja lähettää yhteenvedon tiedoista kahdelle hyvin viattomalta vaikuttavalle jalkapalloveikkausivustolle, joista toinen sijaitsee Tanskassa ja toinen Malesiassa. Vastatoimenpiteisiin ryhdyttiin ripeästi. Heinäkuun loppuun mennessä Microsoft julkaisi normaalin päivitysaikataulunsa ulkopuolella korjauspäivityksen .LNK-haavoittuvuudelle MS10-046, VeriSign peruutti Realtekin ja JMicronin varmenteet, Stuxnetin käyttämät jalkapallosivustot korvattiin tartuntoja seuraavilla palvelimilla ja virustorjuntaohjelmistojen valmistajat lisäsivät Stuxnetin tietokantoihinsa estääkseen sen leviämisen. Heinäkuun 23. päivänä Kaspersky Labs arvoi noin 45 000 tietokoneen saaneen tartunnan.

Myös Siemensillä toimittiin ripeästi. Havaittuaan järjestelmiensä olevan uhattuna yhtiö lähetti jo seuraavalla viikolla asiakkailleen päivityksen, jolla tartunnat voidaan ehkäistä. Teollisuusautomaation asiantuntija Ralph Langner ryhtyi analysoimaan Stuxnetin keskeisiä osia ja huomasi pian että Stuxnetin tekijöillä on erinomaiset tiedot kohteestaan. Tämänhetkisen tiedon mukaan Stuxnet lisää omaa ohjelmakoodiaan WinCC-järjestelmään kytkettyihin PCS-prosessinohjauslaitteisiin, mutta piilottaa nämä osat huolellisesti muokkaamalla WinCC-järjestelmää niin että lisäyksiä ei voi havaita eikä poistaa. Tietoa siitä mitä nämä lisäykset saavat aikaan ei ole annettu julkisuuteen, ja Langner kommentoi säästeliäästi: “koko tämä juttu näyttää niin uskomattomalta, että en oikein tiedä mitä siitä voi kertoa yleisölle”.[1]

Nollapäiväaukkoja kerrakseen

Näin taitavasti laadittu haittaohjelma olisi helposti kyennyt tartuttamaan suuremmankin joukon tietokoneita. Kävi ilmi että USB-muistitikkujen lisäksi mato levitti itseään myös toisella, Windowsin kirjoitinjonoon liittyvällä haavoittuvuudella, jota aluksi epäiltiin niin ikään ennen tuntemattomaksi. Lisäksi Stuxnet käyttää kahta niin ikään ennen tuntematonta paikallista haavoittuvuutta saadakseen kohdekoneessa rajoittamattomat käyttöoikeudet. Pelkästään yhden tällaisen Zero-day-haavoittuvuuden löytyminen on uutinen, mutta kolmen tai neljän samanaikainen käyttäminen on ennenkuulumatonta. Ja kuitenkin Stuxnet on ohjelmoitu lopettamaan leviämisensä kolme eri tietokonetta tartutettuaan.

Stuxnetin maantieteellinen levinneisyys on myös hyvin mielenkiintoinen. Symantec huomasi haltuunottamiensa jalkapallosivustojen avulla että yli puolet Stuxnetin tartuttamista tietokoneista on Iranissa. Indonesia, Intia, Azerbaizan ja Pakistan ovat myös kuuden eniten tartuntoja kärsineen maan joukossa. Näin voimakas maantieteellinen keskittyminen johtuu siitä että Stuxnet ei leviä Internetin välityksellä, vaan ainoastaan yleensä vain lähiverkoissa toimivan kirjoitinpalvelun ja fyysistä kontaktia vaativan USB-muistitikun avulla. Ei liene liioiteltua olettaa että haittaohjelman liikkeellelaskijan tarkoitus oli iskeä nimenomaan Iraniin, ja muihin maihin levinneet tartunnat ovat USB-tikkuja mukanaan kuljettaneiden tietotyöläisten aiheuttamia oheisvahinkoja.

Summataanpa yhteen. Stuxnetin tekijöillä on käytössään huippuasiantuntemusta niin tietoturvasta kun prosessikontrollista, hallussaan varastettuja varmenteita ja keinoja käyttää hyväksi useita ennen tuntemattomia haavoittuvuuksia melkeinpä tuhlailevasti. Heidän kohteenaan ovat Iranin teollisuuslaitokset, joista mainittakoon esimerkiksi Busheriin rakenteilla oleva ydinvoimalaitos ja -rikastamo. Onkohan siellä käytössä Siemensin Step 7 -prosessinohjausjärjestelmä?

Mutta mitä hyökkääjät havittelivat? Pari pientä yksityiskohtaa jää vaivamaan ainakin minua. Siihen verrattuna miten taitavasti Stuxnet muuten on laadittu, siihen on jätetty ilmeisesti tarkoituksella pari outoa kömpelyyttä. Miksi rootkit ei estä näkemästä Drivers-hakemistoon lisättyjä tiedostoja? Miksi www-osoitteet joihin ohjelma ottaa yhteyttä on vakioitu? Tumpelommatkin botnetin rakentajat ovat jo pitkään osanneet kierrättää command and control -palvelimien domain-nimiä jonkin vaikeasti arvattavan algoritmin mukaan. Ikään kuin olisi varta vasten haluttu tehdä helpoksi nähdä kuka ja missä on saanut tartunnan.

Itse veikkaisin että kyseessä on varoitus. Joku on halunnut lähettää Iranin päättäjille viestin: me voimme räjäyttää teidän tehtaanne taivaan tuuliin niiden omilla laitteilla jos haluamme. Pitäkää varanne! Lieneekö sattumaa, että Langnerin analysoimassa koodissa esiintyy liipaisinarvona luku #DEADF007, josta saa pienellä mielikuvituksella sanat “dead fool”?

Totuus ehkä selviää aikanaan. Oli asialla kuka tahansa, kissa on nyt nostettu pöydälle arvaamattomin seurauksin. Se on vielä pientä että muuta haittaohjelmian kirjoittajat ovat innokkaasti ryhtyneet lainaamaan Stuxnetin käyttämiä leviämiskeinoja. Mielestäni paljon vakavampi seuraus on se ainakin minut yllättänyt tieto, miten heikosti teollisuuden prosessinohjausjärjestelmät on suojattu. Tilanteen kehittymistä tiiviisti seuranneen Industrial Defender -yrityksen julkaisemasta “The Stuxnet Worm and Options for Remediation” white paperista[2] käy ilmi erittäin huolestuttavia asioita.

• Stuxnetin tehtävä lukea tai tarvittaessa muuttaa WinCC-järjestelmän tietokantaa on helppo, koska tietokantaan pääsee kytkeytymään vakioidulla valmistajatunnuksella. Tunnus on kovakoodattu WinCC-ohjelmiin, joten sitä ei voi edes muuttaa vaikka käyttäjä tulisikin asiaa ajatelleeksi. (Tiedossani ei ole muuttaako Siemensin 22.7. toimittama päivitys tätä tilannetta, mutta käytäntö on kuulemma alalla yleinen.)

• Ohjausjärjestelmissä käytetään yleisesti vanhentuneita käyttöjärjestelmäversioita. Industrial Defenderin keräämien tietojen mukaan lähes puolet Stuxnet-tartunnan saaneista tietokannasta käytti joko Windows 2000 - tai Windows XP SP2 -versioita, joita ei enää tueta ja joille Microsoft ei enää toimita korjauspäivityksiä.

• Ohjausjärjestelmien päivityssyklit ovat hyvin hitaita. Tämä on ymmärrettävääkin, koska teollisuusympäristössä päivitykset on tapana testata ja validoida huolellisesti ennen asentamista. Ikävä kyllä se myös merkitsee sitä, että päivityksiä tehdään harvoin, ja esimerkiksi Stuxnet pystyi menestyksekkäästi käyttämään vielä yhtenä leviämiskeinona jo vuonna 2008 korjattua RPC-haavoittuvuutta MS08-067.

• Lukuisilta WinCC-järjestelmää pyörittäviltä tietokoneilta on suora yhteys julkiseen Internetiin. Symantecin oli helppo todentaa tämä, koska Stuxnet ottaa yhteyttä www-sivuille vain löydettyään WinCC-asennuksen. Siemensin mukaan ainakin 14 tuotantokäytössä olevaa ohjausjärjestelmää on saanut Stuxnet-tartunnan.[3]

• Itse PCL-moduulien suojaus on lähes olematon. Firmaware-päivityksiä ei tarvitse allekirjoittaa, ja niitä voi tehdä miltä tahansa järjestelmään kytketyltä tietokoneelta.

Industrial Defender ei ujostele häpeilemättä mainostaa paperissaan omia IPS- (intrusion prevention) ja IDS- (intrusion detection) -järjestelmiään. Jotain sellaista toivoisi todellakin käytettävän, vaikka parempiakin vaihtoehtoja ehkä olisi, esimerkiksi haittaohjelmille alttiiden ohjaustietokoneiden kertakaikkinen korvaaminen vastustuskykyisemmillä järjestelmillä. Siitä huolimatta suosittelen lämpimästi heidän www-sivuihinsa tutustumista kaikille prosessiautomaation ja tietoturvan parissa vaikuttaville. Pandoran lipas on nyt avattu ja kiinni sitä ei enää saada.

Lähteet:

[1] www.pcworld.com/businesscenter/article/205827/was_stuxnet_built_to_attack_irans_nuclear_program.html

[2] “The Stuxnet Worm and Options for Remediation”, PDF-dokumentti:

www.industrialdefender.com/advisory/stuxnet/tech_paper/stuxnet_08.2010.pdf

[3] krebsonsecurity.com/2010/09/stuxnet-worm-far-more-sophisticated-than-previously-thought/

[Langner]

www.langner.com/en/index.htm

[Symantec]

www.symantec.com/connect/blogs/w32temphid-commonly-asked-questions

www.symantec.com/connect/blogs/w32stuxnet-installation-details

www.symantec.com/connect/blogs/distilling-w32stuxnet-components

www.symantec.com/connect/blogs/stuxnet-introduces-first-known-rootkit-scada-devices

www.symantec.com/connect/blogs/stuxnet-using-three-additional-zero-day-vulnerabilities

www.symantec.com/connect/blogs/stuxnet-print-spooler-zero-day-vulnerability-not-zero-day-all

[Industrial Defender]

findingsfromthefield.com/?p=549

Industrial Defender Download Center, vaatii rekisteröitymisen:

www.industrialdefender.com/general/downloads/recordings/stuxnet1/index.htm www.industrialdefender.com/general/downloads/recordings/stuxnet2/index.htm

Tarkka ajoitus ja usean hyökkäystekniikan yhdistäminen - nämä toimintamallit ovat nollapäiväaukkoja hyödyntävät verkkorikolliset ottaneet jälleen käyttöönsä. Tästä on erittäin hyvä esimerkki vastikään havaittu Adobe Readerin ja Adobe Acrobatin uusinta versiota koskeva, kirjasintenkäsittelyyn liittyvä haavoittuvuus (CVE-2010-2883).

Valmistaja julkaisee seuraavat vuosiaikataulun mukaiset tietoturvapäivityksensä 13. lokakuuta.

Organisaation kannattaa ottaa uusi haavoittuvuus vakavasti muun muassa seuraavista syistä:

• Tiedossa ei ole, että aikataulun ulkopuolista korjauspäivitystä olisi tulossa. Valmistaja on vasta evaluoimassa korjausaikataulua.

• Hyödyntämiskoodi haavoittuvuudelle on lisätty tunnettuun Metasploit-projektiin. Tämä mahdollistaa uusia hyödyntämistapoja, vaikkakin samalla lisää valmistajan paineita julkaista korjauspäivitys vakioaikataulun ulkopuolella.

• Haittaohjelma osaa läpäistä kaksikin teknologiaa, joilla vihamielisen koodin ajamista pyritään käyttöjärjestelmätasolla estämään. Nyky-Windowseissa näitä ovat Data Execution Prevention (DEP) ja Address Space Layout Randomisation (ASLR).

• Kaikki yleisimmät alustat ovat haavoittuvia. Vielä jokin aikaa sitten organisaation tietoturvayksikkö pystyi rajaamaan riskin esimerkiksi pieneen osaan työasemia, vaikkapa pieneen XP-konekantaansa. Nyt on tilanne toinen.

On myös paljastunut, että haittaohjelman työasemaan kopioimat tiedostot ovat yhdysvaltalaiselta luototusyhtiöltä varastetulla varmenteella allekirjoitettuja. Luotettavan tahon allekirjoittaman varmenteen käytöstähän saatiin kokemuksia aikaisemmin tänä vuonna esimerkiksi Stuxnet-madon yhteydessä.

Jo yksissään kaikkien alustojen alttius riittää soittamaan hälytyskelloja. Joka tapauksessa usean keinon yhdistäminen on merkki verkkorikollisten kiristyneestä kilpajuoksusta tilanteessa, jossa ohjelmistojätteihin kuuluva Adobe on ilmoittanut ottavansa tulevaisuudessa käyttöön vaikkapa Chrome-selaimesta tuttua sandboxing-teknologiaa.

Onko Adobe nyt samassa tilanteessa kuin Microsoft on ollut jo vuosia, eli säännöllisten vakiopäivitysten testejä lopetellessa ja julkaisutiedotteita viimeisteltäessä nurkan takaa tuleekin kriittinen nollapäiväaukko? Tietoturvapäivitysten julkaisun vakioaikatauluista Adobella jouduttiiin poikkeamaan jo viime kuussa.

Onko teidän organisaatiossa olemassa toimintasuunnitelmaa jokaista työasemaa koskettavan nollapäiväaukon löytymiseen?

Pohdiskelimme lokakuussa maksuttomien exploit-sivustojen tulevaisuudennäkymiä.

Kirjoituksessa käsitellyistä sivustoista Milw0rm.com ei ole edelleenkään päivittynyt syyskuun puolenvälin jälkeen. Sivuston exploit-kohtainen kävijälaskuri on samalla usean koodin kohdalla noussut jopa yli 60 000 latauskertaan.

Toinen listaamistamme sivustoista - 0xbugs.com-sivusto - ei puolestaan ole päivittynyt lokakuun puolenvälin jälkeen. Koodien katselukerrat ovat hyvin vaatimattomia eli muutamissa kymmenissä.

PacketStorm ja SecuriTeam päivittyvät säännöllisesti, mutta SecuriTeamin päivityksissä oli elo-marraskuun kestänyt tauko.

Yksi vähemmän tunnettu sivusto on Exploit Database osoitteessa www.exploit-db.com. Viime kuun puolivälissä avattua sivustoa ylläpitää Offensive Security Team, jonka jäsenet esiintyvät oikeilla nimillään. Sivustolle pääsee myös helposti muistettavan explo.it-osoitteen avulla.

Tietokantaan kerätään hyökkäyskoodeja postituslistoilta ja esimerkiksi Milw0rm-sivuston exploitit on otettu mukaan. Kaikkiin exploitteihin pyritään lisäämään viitteet CVE- ja OSVDB -tietokantoihin. Lisäksi tarjotaan tieto, onko koodia testattu omassa testiympäristössä. Massapäivitysten ansiosta sivuston koodilistausten kokonaismäärä onkin yli 10 000.

Milw0rm-tietokannasta siirretyissä koodeissa myös Milw0rm-tunnus on osoitteissa säilytetty, joten NaviCOPA-koodin osoitteen milw0rm.com/exploits/9694 vastine on Exploit Databasessa osoite exploit-db.com/exploits/9694.

Haavoittuvuustoimijoista muun muassa Secunia on julkaissut hiljattain varoituksia Exploit Database lähteenään.

Näyttää siis siltä, että Milw0rm on saanut varteenotettavan, säännöllisesti päivittyvän seuraajan.

Jo vuosikausia haavoittuvuuksien hyökkäyskoodeja eli exploitteja on tietoturvayhteisössä kerätty postituslistoilta ja haavoittuvuuksien löytäjien verkkosivuilta erityisille arkistosivuille.

Exploitti on haavoittuvuuden hyödyntämiseksi laadittu eräänlainen työkalu, joka voidaan julkaista esim. lähdekoodina. Välillä julkaistaan vain kuvaus hyödyntämismenetelmästä, mutta ei varsinaista hyökkäyskoodia. Koodin olemassaolo ja sen julkisuus vaikuttavat puolestaan siihen millaisen vakavuusluokituksen haavoittuvuustoimijat turva-aukoille antavat.

Keväällä 2006 ranskalainen VUPEN Security (silloinen FrSIRT) lopetti koodien julkaisun sivustonsa maksuttomassa osiossa paikallisen lainsäädännön kriminalisoitua julkaisemisen. Vapaaehtoisvoimin toimivia hyökkäyskoodiarkistoja toimii kuitenkin edelleen useissa maissa sijaitsevilla palvelimilla.

Viime aikoina tietoturvayhteisössä on keskusteltu Milw0rm-sivuston jatkosta. Sivusto lakkasi päivittymästä reilu kuukausi sitten 21. syyskuuta.

Nimimerkin str0ke johdolla vuosikausia vapaaehtoistyönä ylläpidetty sivusto oli jo heinäkuussa sulkeutumassa resurssipulan vuoksi. Alasajon uhka herätti kuitenkin tietoturvayhteisön ja runsaan palutteen sekä avustustarjousten perusteella ylläpitämistä päätettiin kuitenkin jatkaa. Teksasilaispostilokero-osoitteeseen rekisteröity sivustoa vastaan on tehty viime kuukausina myös hajautettuja palvelunestohyökkäyksiä.

Milw0rm-referenssejä löytyy esimerkiksi MPEG-enkooderisovelluksen haavoittuvuuden CVE-tietueesta ja Joomla-komponentin CVE:stä CVE-2009-3661.

CVE-hanke (Common Vulnerabilities and Exposures) on myös päättänyt käyttää referenssejä säännöllisesti luotuaan niille MILW0RM:n-luokan yleispätevän MISC-luokan lisäksi. Myös haavoittuvuustoimija Secunia viittaa Milw0rm-julkistuksiin.

Muita vastaavia maksuttomia sivustoja ovat esimerkiksi PacketStorm Securityn ja SecuriTeamin Exploits-osiot sekä vähemmän tunnettu 0xbugs-sivusto.

Onkin mielenkiintoista nähdä pystyykö Milw0rm jatkamaan toimintaansa ja vahveneeko vai heikkeneekö ilmaisten exploit-sivustojen kenttä.