The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

На конференции EUSecWest будет представлен первый rootkit для Cisco

17.05.2008 23:08

Себастьян Муниз (Sebastian Muniz), исследователь из компании Core Security Technologies, разработал работающую реализацию rootkit для маршрутизаторов Cisco. Работа будет представлена на конференции EUSecWest, которая пройдет 22 мая в Лондоне.

Разработанный руткит ничем не отличается по возможностям от своих собратьев для персональных компьютеров и позволяет полностью контролировать устройство и скрыто управлять им. В отличие от концептуальных разработок в прошлом, которые позволяли инфицировать Cisco через загрузку shell-кода в определенные версии IOS, разработка Себастьяна поддерживает значительно более широкий спектр версий IOS. Для установки руткита атакующий должен получить административный доступ к маршрутизатору, подсмотрев пароль или используя определенную уязвимость. При этом, руткит устанавливается во Flash память и автоматически запускается во время загрузки.

Наученный печальным опытом своего коллеги, Майкла Линна (Michael Lynn), на которого компания Cisco подала в суд после его доклада на конференции Black Hat 2005 с демонстрацией одной из новых уязвимостей, Себастьян не намерен публиковать исходные тексты руткита, а планирует только в общих чертах познакомить с принципом его действия.

Дополнение: месяц назад была описана техника выполнения вредоносного кода на Cisco IOS, оформленного в виде периодически запускаемого Tclsh скрипта.

  1. Главная ссылка к новости (http://blogs.zdnet.com/securit...)
Лицензия: CC-BY
Тип: Тема для размышления
Короткая ссылка: https://opennet.ru/15934-cisco
Ключевые слова: cisco, ios, security, rootkit
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (14) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, IIIHyP (?), 23:58, 17/05/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >Для установки руткита атакующий должен получить административный доступ к маршрутизатору.

    Великое дело написать руткит который нужно запускать с админскими правами? Вот если бы он запускался удаленно...

    >или используя определенную уязвимость.

    Что имелось ввиду? Можно удаленно запустить с правами админа, но для этого нужно удаленно взломать циско? (с английским не очень, поэтому переводить оригинальную статью не стал).

     
     
  • 2.3, FSA (??), 00:39, 18/05/2008 [^] [^^] [^^^] [ответить]  
  • +/
    А что тут непонятного? Это оба способа установки вредоносных программ. Для Windows обычно используется первый, т.к. пользователи обычно работают под админом. В принципе никто не мешает ставить вирусы под IOS/Linux/BSD под root, но проблема получить данные права, потому тут только выход использовать уязвимости. Открытие америки второй раз не засчитано.
     
     
  • 3.5, IIIHyP (?), 01:13, 18/05/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Дак вот я и говорю, как делали руткиты, так и делают, о чем новость вообще? Просто очередной руткит, ничем не отличающийся от остальных... А еще какой-то доклад...
     
     
  • 4.14, Lucas (?), 14:31, 18/05/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Дело в том, что раньше оборудование Cisco считали горазда более защищённым, чем платформу винтел. Поскольку чтобы писать вредоносный код для Cisco, надо иметь маршрутизатор под рукой и на нём практиковаться. Что не каждый может себе позволить. Конечно, новость об уязвимости вызвала у хакеров интерес. И теперь люди целенаправленно изучают системный софт в маршрутизаторе. Что приведёт к лавинообразному открытию уязвимостей и созданию червей.
     

  • 1.6, Аноним (6), 01:49, 18/05/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    To IIIHyP. Это не просто руткит, это руткит под IOS. Вы много знаете таких? О том и новость. Написать его, а тем более впиздюхать его в железку под управлением IOS не два пальца обоссать, это довольно сложно. Так что доклад для конференции более чем уместен.
     
     
  • 2.11, IIIHyP (?), 12:58, 18/05/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >To IIIHyP. Это не просто руткит, это руткит под IOS...

    Мне пофиг на руткиты которые запускаются от прав админа, для этого нужно удаленно взломать Циско, вот еслебы был доклад как это сделать... А если ты осилил взломать циско, то и руткит ты сам сделаешь.

    > Написать его, а тем более впиздюхать его в железку под управлением IOS не два пальца обоссать, это довольно сложно.

    Для Линукса, БСД руткиты просто делаются? Может теперь тоже на конференциях рассказывать? Как недавняя новость что выпустили вирус, для "не пропатченных Дебианов, определенной версии пакета ssl" ?

     
     
  • 3.13, Demimurych (?), 14:08, 18/05/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Детский сад ей богу.

    В случае с линукс  не всегда просто но известно как.

    В случае с циско "известно как" не было. Даже с правами администратора. Теперь надеюсь понятно?

     
  • 2.21, моя не помнить (?), 12:52, 08/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Это очень опасное оружие, если копнуть глубже.. Не нужно ломать сам роутер! Надо просто пропатчить прошивку до заливки оной в железку! Тут можно пофантазировать - запатчить при удачном ownin'ге админской тачки или же файлсервера где лежит прошивка, или сыграть patch-on-the-fly под man-in-the-middle, например, поиметь прокси если он между админом и железкой, напоить админа, итд.. И это вполне выполнимая задача, при правильном подходе и навыках в области. А вот последствия могут быть катастрофические - в руткит можно добавить код для слежения за соседними роутерами и срисовать их админские пароли, даже можно дождаться момента ИХ прошивки и пропатчить на лету (или втихаря слить "правильный" образ нужной версии IOS), про скрытие присутствия руткита в роутере вообще молчу - вариантов куча, самый дерзкий - суметь "выжить" при попытки апгрейда firmware. Короче, определить наличие этого дела будет недёшево и подозрения возникнут не сразу (если вообще), а в это время админское хозяйство будет втихаря работать на два фронта.

    Техника внедрения и работы уже в самом железе реализуема на практике, это факт. Всякие фичи типа описанных выше не являются жизненно важными, но их создание всего лишь зависит от желания, навыков и времени в наличии. IOS это всего лишь один из вариантов, прошивки уже давно стали обычным делом. Безопасность во многих компаниях не уделяет должное внимание опасностям идущим изнутри (по разным причинам), человеческий фактор ждёт своего часа.

    Думайте, готовтесь к защите, критикуйте, пробуйте сами сделать (не забудьте сухари и на всякий завещание), забейте или спорьте - моё дело сделано, я просто развил идею... Главное - никому не доверяйте в ответственных делах (проверка - залог спокойного сна) :-)

     

  • 1.7, Аноним (6), 03:03, 18/05/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    И о чём будет сказанно на докладе? "У нас есть таааакие приборы! ... но мы вам о них не расскажем!"(С)

    Цисок - давить!

     
  • 1.15, Аноним (6), 15:55, 18/05/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    да циска как железо действительно не супер, если надо быстрый свич то есть nortel
    надо fiberchannel есть brocade

    хоть тако то можно юзать как файрволл...

     
     
  • 2.17, dRiZd (?), 00:08, 19/05/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >да циска как железо действительно не супер, если надо быстрый свич то
    >есть nortel

    Тем более, что у циски уже были проблемы в Японии (переполнение), а nortel выдержали

     

  • 1.18, Аноним (6), 03:54, 19/05/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >В случае с циско "известно как" не было. Даже с правами администратора. Теперь надеюсь понятно?

    Хех, об этом народ писал в x25zine еще в бородатом 2003

     
  • 1.19, vgray (??), 08:28, 19/05/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Если возможно то добавьте к новости упоминание о том что это не первый "Руткит" под циску, http://blog.ioshints.info/2008/03/tcl-based-ios-backdoor.html
    точно также из под рута запускается.
     
     
  • 2.20, sash (??), 12:10, 19/05/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Если возможно то добавьте к новости упоминание о том что это не
    >первый "Руткит" под циску, http://blog.ioshints.info/2008/03/tcl-based-ios-backdoor.html
    >точно также из под рута запускается.

    Не поверите, но именно эту ссылку только хотел запостить. :)

    Разница между ними - в том, что по ссылке - бекдор, а новость про "руткит".

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Inferno Solutions
    Ideco
    A-Real
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2021 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру