Možná se vám podaří najít neviditelný malware, ale zbavit se ho není snadné

Vědí, že existuje něco jako neviditelný malware to je mimo dosah vašeho antivirového softwaru je dost děsivé. Ale co když se to dozvíte, i kdybyste to našli, nemuseli byste se toho zbavit? Bohužel, v závislosti na typu hardwaru založeného na hardwaru, o kterém mluvíme, by tomu tak mohlo být.

Minulý týden jsem již psal o problému neviditelného malwaru, který může existovat v systému BIOS (Basic Input / Output System) vašeho počítače a může obsahovat virtuální rootkity. Tyto rootkity pak mohou tiše převzít servery, stolní počítače nebo jiná zařízení. Protože existují v hardwaru, vaše ochrana koncových bodů nebo jiné balíčky proti malwaru je obecně nevidí. Ve skutečnosti možná nikdy nebudete vědět, že jste nakaženi, dokud se vaše data neobjeví k prodeji po porušení.

Detekce malwaru

Naštěstí odborníci našli způsoby, jak lze tento neviditelný malware odhalit, ale jako by zlí lidé udrželi krok, existují i ​​nové způsoby, jak jej nainstalovat. Přesto je úkol najít to poněkud jednodušší. Například nová chyba zabezpečení v procesorech Intel nazvaná „ZombieLoad“ může být napadena pomocí kódu exploit dodaného v softwaru. Tato chyba zabezpečení může umožnit vzdálené vložení malwaru do systému BIOS počítače.

Zatímco vědci stále studují ZombieLoad a snaží se zjistit rozsah problému v tomto posledním kole využití Intel, faktem je, že takové hardwarové exploity se mohou rozšířit v celém podniku. „Firmware je programovatelný kód, který sedí na čipu, “ vysvětluje Jose E. Gonzalez, spoluzakladatel a generální ředitel společnosti Trapezoid. "V systému máte spoustu kódu, na který se nedíváte."

Tento problém zhoršuje skutečnost, že tento firmware může existovat v celé síti, a to v zařízeních, od webových kamer a bezpečnostních zařízení, přes přepínače a směrovače až po počítače v serverové místnosti. Všichni jsou v podstatě výpočetní zařízení, takže každý z nich může skrýt malware obsahující zneužívající kód. Ve skutečnosti byla právě taková zařízení používána ke spouštění útoků typu denial-of-service (útoky DoS) z robotů založených na jejich firmwaru.

Trapezoid 5 je schopen detekovat přítomnost firmwaru založeného na firmwaru prostřednictvím jedinečného systému vodoznaků, který kryptograficky váže firmware každého zařízení na jakýkoli hardware, na kterém je spuštěn. To zahrnuje virtuální zařízení, včetně virtuálních strojů (VM) umístěných buď v areálu, nebo virtuální infrastruktury Infrastruktura-as-a-Service (IaaS) spuštěné v cloudu. Tyto vodoznaky mohou odhalit, zda se něco v firmwaru zařízení změnilo. Přidání malwaru do firmwaru jej změní, takže vodoznak je neplatný.

Trapezoid obsahuje modul pro ověření integrity firmwaru, který pomáhá odhalit problémy s firmwarem a umožňuje bezpečnostnímu personálu je prozkoumat. Trapezoid se také integruje do mnoha nástrojů pro správu a vykazování zásad zabezpečení, takže můžete přidat infikovaná zařízení odpovídající strategie zmírnění.

Vysvětlení zadních dveří

Alissa Knight se specializuje na problémy s hardwarovým zabezpečením. Je hlavní analytičkou skupiny The Aite Group a autorkou připravované knihy Hacking Connected Cars: Tactics, Techniques and Procedures . Rytíř uvedl, že odborníci v oblasti IT, kteří hledají neviditelný malware, budou pravděpodobně potřebovat nástroj, jako je Trapezoid 5. Nic méně specializovaného nebude. „Je tu jeden základní aspekt zadních dveří, který je obtížně detekuje, protože čekají, až je některé spouštěče probudí, “ vysvětlila.

Knight řekl, že pokud takové backdoor existuje, ať už je to součást útoku malwaru, nebo existuje z nějakého jiného důvodu, pak nejlepší, co můžete udělat, je zabránit jim v činnosti tím, že jim zabrání detekovat jejich spouštěče. Ukázala na Silencing Hardware Backdoors , výzkumnou zprávu Adama Waksmana a Simhy Sethumadhavanové, oba Laboratoř počítačové architektury a bezpečnostní technologie, katedra informatiky na Columbia University.

Výzkumy Waksmana a Sethumadhavana ukazují, že těmto spouštěčům malwaru lze zabránit v práci třemi technikami: Zaprvé, reset napájení (pro malware rezidentní paměti a útoky založené na čase); za druhé, zmatení dat; a zatřetí, přerušování sekvence. Zmatek zahrnuje šifrování dat vstupujících do vstupů, což může zabránit rozpoznání spouště, stejně jako náhodný tok příkazů.

Problém s těmito přístupy spočívá v tom, že mohou být nepraktické v prostředí IT pro všechny, ale nejkritičtější implementace. Knight poukázal na to, že některé z těchto útoků budou pravděpodobně prováděny státem podporovanými útočníky než kybernetičtí zločinci. Stojí však za zmínku, že tito útočníci podporovaní státem postupují po malých a středních podnicích (SMB) ve snaze získat informace nebo jiný přístup ke svým konečným cílům, takže profesionálové SMB nemohou jednoduše ignorovat tuto hrozbu jako příliš sofistikovanou aplikovat na ně.

Zabránění malwaru v komunikaci

Jedna strategie, která funguje, však zabraňuje komunikaci malwaru, což platí pro většinu malwaru a zadních vrát. I když tam jsou, nemohou nic dělat, pokud je nelze zapnout nebo pokud nemohou poslat svá užitečná zatížení. To může udělat dobré zařízení pro analýzu sítě. „potřebuje komunikovat s domácí základnou, “ vysvětlil Arie Fred, viceprezident pro produktový management ve společnosti SecBI, který používá systém detekce a reakce na základě umělé inteligence (AI), který zabraňuje malwaru v komunikaci.

"Používáme přístup založený na protokolu pomocí dat z existujících zařízení k vytvoření viditelnosti v plném rozsahu, " řekl Fred. Tento přístup zabraňuje problémům způsobeným šifrovanou komunikací od malwaru, které některé typy systémů detekce malwaru nemohou zachytit.

"Můžeme provádět autonomní vyšetřování a automatické zmírňování, " řekl. Tímto způsobem lze sledovat a blokovat podezřelé komunikace ze zařízení do neočekávaného cíle a tyto informace lze sdílet kdekoli v síti.

Odstranění malwaru založeného na hardwaru

Možná jste tedy našli nějaký neviditelný malware a možná se vám podařilo zabránit v konverzaci s jeho mateřskou lodí. Dobře, ale co se toho zbavit? Ukázalo se, že to není jen obtížné, může to být i nemožné.

V případech, kdy je to možné, je okamžitým vyléčením firmware změněn. To může malware odstranit, ledaže by prošlo vlastním dodavatelským řetězcem zařízení. V takovém případě byste jej měli znovu načíst.

• Nejlepší software pro monitorování sítě pro rok 2019 Nejlepší software pro monitorování sítě pro rok 2019
• Nejlepší software pro odstraňování a ochranu malwaru pro rok 2019 Nejlepší software pro odstraňování a ochranu malwaru pro rok 2019
• Neviditelný malware je zde a váš bezpečnostní software nemůže chytit Neviditelný malware je tady a váš bezpečnostní software nemůže chytit

Pokud provedete reflash, pak je také důležité sledovat, zda vaše síť nemá známky reinfekce. Tento malware se musel někam dostat do vašeho hardwaru a pokud nepocházel od výrobce, pak je určitě možné, že stejný zdroj jej znovu odešle, aby se obnovil.

K tomu se scvrkává více sledování. To bude pokračovat ve sledování síťového provozu na známky škodlivé komunikace a také na záložkách v různých instalacích firmwaru zařízení na známky infekce. A pokud monitorujete, možná zjistíte, odkud pochází, a také to eliminujete.