Себастьян Муниз (Sebastian Muniz), исследователь из компании Core Security Technologies, разработал (http://www.networkworld.com/news/2008/051408-hacker-writes-r... работающую реализацию rootkit (http://ru.wikipedia.org/wiki/Rootkit) для маршрутизаторов Cisco. Работа будет представлена на конференции EUSecWest (http://eusecwest.com/), которая пройдет 22 мая в Лондоне.
Разработанный руткит не чем не отличается по возможностям от своих собратьев для персональных компьютеров и позволяет полностью контролировать устройство и скрыто управлять им. В отличии от концептуальных разработок в прошлом, которые позволяли инфицировать Cisco через загрузку shell-кода в определенные версии IOS, разработка Себастьяна поддерживает значительно более широкий спектр версий IOS. Для установки руткита атакующий должен получить административный доступ к маршрутизатору, подсмотрев пароль или используя определенную уязвимость. При этом, руткит устанавливается во Flash память и автоматич...URL: http://blogs.zdnet.com/security/?p=1100&tag=nl.e622
Новость: http://www.opennet.ru/opennews/art.shtml?num=15934
>Для установки руткита атакующий должен получить административный доступ к маршрутизатору.Великое дело написать руткит который нужно запускать с админскими правами? Вот если бы он запускался удаленно...
>или используя определенную уязвимость.
Что имелось ввиду? Можно удаленно запустить с правами админа, но для этого нужно удаленно взломать циско? (с английским не очень, поэтому переводить оригинальную статью не стал).
А что тут непонятного? Это оба способа установки вредоносных программ. Для Windows обычно используется первый, т.к. пользователи обычно работают под админом. В принципе никто не мешает ставить вирусы под IOS/Linux/BSD под root, но проблема получить данные права, потому тут только выход использовать уязвимости. Открытие америки второй раз не засчитано.
Дак вот я и говорю, как делали руткиты, так и делают, о чем новость вообще? Просто очередной руткит, ничем не отличающийся от остальных... А еще какой-то доклад...
Дело в том, что раньше оборудование Cisco считали горазда более защищённым, чем платформу винтел. Поскольку чтобы писать вредоносный код для Cisco, надо иметь маршрутизатор под рукой и на нём практиковаться. Что не каждый может себе позволить. Конечно, новость об уязвимости вызвала у хакеров интерес. И теперь люди целенаправленно изучают системный софт в маршрутизаторе. Что приведёт к лавинообразному открытию уязвимостей и созданию червей.
To IIIHyP. Это не просто руткит, это руткит под IOS. Вы много знаете таких? О том и новость. Написать его, а тем более впиздюхать его в железку под управлением IOS не два пальца обоссать, это довольно сложно. Так что доклад для конференции более чем уместен.
>To IIIHyP. Это не просто руткит, это руткит под IOS...Мне пофиг на руткиты которые запускаются от прав админа, для этого нужно удаленно взломать Циско, вот еслебы был доклад как это сделать... А если ты осилил взломать циско, то и руткит ты сам сделаешь.
> Написать его, а тем более впиздюхать его в железку под управлением IOS не два пальца обоссать, это довольно сложно.
Для Линукса, БСД руткиты просто делаются? Может теперь тоже на конференциях рассказывать? Как недавняя новость что выпустили вирус, для "не пропатченных Дебианов, определенной версии пакета ssl" ?
Детский сад ей богу.В случае с линукс не всегда просто но известно как.
В случае с циско "известно как" не было. Даже с правами администратора. Теперь надеюсь понятно?
Это очень опасное оружие, если копнуть глубже.. Не нужно ломать сам роутер! Надо просто пропатчить прошивку до заливки оной в железку! Тут можно пофантазировать - запатчить при удачном ownin'ге админской тачки или же файлсервера где лежит прошивка, или сыграть patch-on-the-fly под man-in-the-middle, например, поиметь прокси если он между админом и железкой, напоить админа, итд.. И это вполне выполнимая задача, при правильном подходе и навыках в области. А вот последствия могут быть катастрофические - в руткит можно добавить код для слежения за соседними роутерами и срисовать их админские пароли, даже можно дождаться момента ИХ прошивки и пропатчить на лету (или втихаря слить "правильный" образ нужной версии IOS), про скрытие присутствия руткита в роутере вообще молчу - вариантов куча, самый дерзкий - суметь "выжить" при попытки апгрейда firmware. Короче, определить наличие этого дела будет недёшево и подозрения возникнут не сразу (если вообще), а в это время админское хозяйство будет втихаря работать на два фронта.Техника внедрения и работы уже в самом железе реализуема на практике, это факт. Всякие фичи типа описанных выше не являются жизненно важными, но их создание всего лишь зависит от желания, навыков и времени в наличии. IOS это всего лишь один из вариантов, прошивки уже давно стали обычным делом. Безопасность во многих компаниях не уделяет должное внимание опасностям идущим изнутри (по разным причинам), человеческий фактор ждёт своего часа.
Думайте, готовтесь к защите, критикуйте, пробуйте сами сделать (не забудьте сухари и на всякий завещание), забейте или спорьте - моё дело сделано, я просто развил идею... Главное - никому не доверяйте в ответственных делах (проверка - залог спокойного сна) :-)
И о чём будет сказанно на докладе? "У нас есть таааакие приборы! ... но мы вам о них не расскажем!"(С)Цисок - давить!
да циска как железо действительно не супер, если надо быстрый свич то есть nortel
надо fiberchannel есть brocadeхоть тако то можно юзать как файрволл...
>да циска как железо действительно не супер, если надо быстрый свич то
>есть nortelТем более, что у циски уже были проблемы в Японии (переполнение), а nortel выдержали
>В случае с циско "известно как" не было. Даже с правами администратора. Теперь надеюсь понятно?Хех, об этом народ писал в x25zine еще в бородатом 2003
Если возможно то добавьте к новости упоминание о том что это не первый "Руткит" под циску, http://blog.ioshints.info/2008/03/tcl-based-ios-backdoor.html
точно также из под рута запускается.
>Если возможно то добавьте к новости упоминание о том что это не
>первый "Руткит" под циску, http://blog.ioshints.info/2008/03/tcl-based-ios-backdoor.html
>точно также из под рута запускается.Не поверите, но именно эту ссылку только хотел запостить. :)
Разница между ними - в том, что по ссылке - бекдор, а новость про "руткит".