Перейти к содержанию

Защита информации в памяти от перехвата и кражи | Блог Касперского


Рекомендуемые сообщения

Недавно в популярном менеджере паролей KeePass устранили дефект — мастер-пароль, защищающий все остальные пароли в зашифрованной базе, можно было извлечь из памяти компьютера, где он был доступен в открытом виде. Таким же образом из памяти можно извлекать фрагменты другой важной информации, например тексты недавней переписки или цифры из корпоративных баз данных. Разработчики KeePass быстро нашли довольно оригинальное решение проблемы, но в большинстве других приложений пароли в памяти хранятся в открытом виде, поэтому она всегда является «слабым местом» в общей системе безопасности.

Атака на память кажется экзотической и сложной, но на практике осуществить ее достаточно легко, если администраторы компьютера не предпримут специальных мер защиты.

Как можно изучить память компьютера?

Участки оперативной памяти, используемые разными приложениями, в значительной мере изолированы друг от друга средствами ОС и гипервизора. Поэтому просто вдруг прочитать фрагмент памяти, в котором работает постороннее приложение, не получится. Впрочем, на это способны процессы с привилегиями ядра (system в Windows, root в *nix). А способов повышения привилегий до нужного уровня существует немало — чаще всего для этого используются различные уязвимости в ОС или драйверах устройств.

Еще один вариант того, как можно добраться до памяти работающего компьютера, — DMA-атаки. Они основаны на том, что высокоскоростные интерфейсы (USB 4.0, Thunderbolt, Firewire и другие) ради ускорения процессов ввода-вывода имеют прямой доступ к памяти. Специально спроектированное устройство может злоупотреблять этой особенностью для считывания любых фрагментов памяти. Это не гипотетическая угроза, известны реальные случаи подобных атак (FinFireWire).

Таких файлов в Windows несколько:

  • временный файл подкачки (pagefile.sys);
  • файл сохранения для режима гибернации (hiberfil.sys);
  • аварийные и отладочные дампы памяти (memory.dmp, minidump). Генерацию таких файлов можно запустить вручную.

В Linux подкачка и гибернация используют выделенный раздел диска, общий для этих нужд.

Чтобы изучить один из этих файлов, как правило, нужно иметь физический доступ к компьютеру, но при этом не обязательно знать реквизиты доступа и вообще включать машину. Можно просто вытащить жесткий диск и считать его на другом компьютере.

 

Посмотреть статью полностью

Ссылка на сообщение
Поделиться на другие сайты
22 hours ago, KL FC Bot said:

Недавно в популярном менеджере паролей KeePass устранили дефект — мастер-пароль, защищающий все остальные пароли в зашифрованной базе, можно было извлечь из памяти компьютера, где он был доступен в открытом виде.

Стас, ёклмн!!! У ЛК была ровно эта же проблема: https://t.me/mydaybug/440! Я обнаружил это поведение и у KeePass, и у ЛК ещё 3-го февраля. Но в KeePass просто не стал сообщать (т.к. та версия, которой пользуюсь я сам, имеет предупреждение о таком поведении), а вот в ЛК написал.

И что в итоге? Сначала ЛК не признавали проблему, а затем оценили на 4.2. Тогда как KeePass оценил проблему на 7.5 https://nvd.nist.gov/vuln/detail/CVE-2023-32784

 

Ладно, мне важно, что проблему признали и пообещали исправить. Мораторий на публикацию истёк ещё в мае, но просто из уважения к ЛК я не стал раскрывать деталей, не стал выкладывать видос с демонстрацией. Решил просто забыть об этом, будто и не было ничего.

 

Но тут приходит Стас и начинает, прошу прощения, мочиться себе на голову. То есть он думает, что обсыкает конкурента (абсолютно бесплатного, с открытым исходным кодом, обращаю внимание), но на самом деле попадает на своего же работодателя. Вот просто кто тебе мешал не приводить в пример конкретно KeePass? Выбери вообще любой другой продукт, который не конкурирует с ЛК и я бы мимо прошёл. Но вот этим набросом фекалий на вентилятор ты попал на своих.

  • Like (+1) 1
Ссылка на сообщение
Поделиться на другие сайты
23 минуты назад, Umnik сказал:

(т.к. та версия, которой пользуюсь я сам, имеет предупреждение о таком поведении)

Можно номер версии и подробности как настроить предупреждение?

Ссылка на сообщение
Поделиться на другие сайты

Предупреждение на сайте написано. KeePassXC у меня. Где-то то ли в FAQ, то ли просто где-то в описании. В общем, нашёл за минуту его и успокоился. О, пока пишу эти слова, вспомнил, что у них даже ишуя была в багтрекере, ща найду.

 

Нашёл, вот: https://github.com/keepassxreboot/keepassxc/issues/7335 они честно признаются, что вот такие дела и мы не можем с этим ничего поделать. И здесь же описание, как можно прочитать пароль. Если у атакующего нет прав администратора, то он не сможет достать пароль. На чтение файла подкачки тоже нужны права администратора. Ну или если злоумышленник не может загрузиться с флешки и банально скопировать файл подкачки.

 

Вот часть моего письма, где я описываю сотруднику ЛК, что кипас тоже подвержен проблеме:

 

Quote

Добавлю ещё от себя. Вы не единственные, кто имеет эту проблему. Я проверил ещё и keepass и keepassxc — они оба подвержены этой же проблеме. Однако у них есть механизм снижения опасности, даже несколько:

1. Оба они позволяют использовать не только мастер пароль. Я использую и мастер-пароль, и ключевой файл (а ещё не Windows, но это дело пятое).
Использовал бы и свисток свой, но SoloKey не поддерживается, к сожалению. В целом вот ишуя, где показан альтернативный способ извлечения мастер пароля: https://github.com/keepassxreboot/keepassxc/issues/7335

2. Дополнительно к этому keepass, который классический, имеет механизм Secure Desktop, который вообще поднимает запрос мастер пароля в другом сеансе. В итоге в памяти мастер-пароля не остаётся https://keepass.info/help/kb/sec_desk.html Вам стоит подрезать эту функциональность себе, она очень полезна. Тем более что авторы признают, что из-за дотнета они не могут вычистить мастер пароль из памяти:
https://keepass.info/help/base/security.html#secmemprot

Вообще, если сделаете аналог secure desktop, тем более что вам не нужно работать на ОС ниже Win2k, атакующему делать будет уже нечего. А если планируете KPM делать компонентом какого-то корпоративного решения, то к этому времени нужно подготовиться точно.

 

Вся проблема в выбранных языках. Это безопасные языки с автоматическим управлением памятью и так называемым "сборщиком мусора" (grbage collector). Во всех случаях проблема в том, что пароль, когда он уже не нужен, продолжает висеть в памяти до тех пор, пока этот сборщик мусора не решит, что пора бы мусор почистить. В моих экспериментах GC не приходил около получаса. То есть ещё полчаса после разблокировки KPM мастер паролем я мог достать этот пароль из памяти. Временные интервалы для кипасов не замерял, мне было нужно лишь понять, только ли у ЛК проблема.

 

ЛК оценила опасность на 4.2 (низкая опасность) по моему репорту, потому что требуются права Администратора. Кипасс при тех же самых условиях (повторю - это тоже самое, одинаковое) оценили на 7.5 (высокая опасность).

  • Like (+1) 1
Ссылка на сообщение
Поделиться на другие сайты

Дело не в том, как запускается KeePass или KPM. Права админа должны быть у вредоносного ПО, потому что чтение памяти другого процесса требует этих прав. А если в целом, то не надо запускать Кипас от админа, как и вообще любое ПО не надо запускать без крайней нужды. Это в целом плохое поведение.

Ссылка на сообщение
Поделиться на другие сайты
15 часов назад, Umnik сказал:

Стас, ёклмн!!! У ЛК была ровно эта же проблема

Была, значит уже исправлена и всё хорошо?

Ссылка на сообщение
Поделиться на другие сайты

Не знаю. Мне обещали, что будут деражать в курсе, но после того обещания новых писем не было. Я просто не стал проверять.

Ссылка на сообщение
Поделиться на другие сайты
37 минут назад, Umnik сказал:

Не знаю. Мне обещали, что будут деражать в курсе, но после того обещания новых писем не было. Я просто не стал проверять.

Скажи пожалуйста, если я сижу за компом от имени администратора, то и КПМ запускается всегда от имени администратора? Или по умолчанию он запускается без админских прав? 

Ссылка на сообщение
Поделиться на другие сайты
5 часов назад, Umnik сказал:

то не надо запускать Кипас от админа

Где то читал рекомендовали от админа запускать, мотивировали тем что тогда ПО запущенное без прав админа не сможет что то сделать, как то так

Ссылка на сообщение
Поделиться на другие сайты
2 hours ago, Mrak said:

если я сижу за компом от имени администратора,

Если UAC включен, то нет. По умолчанию ты сидишь, на самом деле, под пользователем. А вот чтобы получить админские права, ты нажимаешь "Разрешить" в запросе UAC. В этом случае запускается НОВЫЙ процесс от ДРУГОГО пользователя и вот он уже имеет админские права. Ты можешь сделать простой эксперимент - открыть командную строку и увидишь, что она работает в таск менеджере под твоим пользователем. Зачем запустить ещё одну и она тоже будет под твоим именем. А затем запустить третью, но от имени администратора, и увидишь, что третья работает уже не от твоего имени.

 

Чтобы работать реально с админскими правами в Windows Vista и новее, нужно выключать UAC или лоигинться под учётной записью, которая называется Adminisraotor (встроенная). То есть ты можешь создать себе ещё профиль админа, залогиниться в него, опустить своей рабочей учётке права до Пользователь и повесить на нового админа пароль. И продолжать работать под своей рабочей юзерской учёткой. И при попытке выполнить действие от администратора, у тебя будет запрошен пароль той, новой учётки. По мере того, как тебе будет лень его вводить, ты будешь совершать меньше ошибок безопасности :) Я так делал до ухода на Линукс, отучал себя тыкать разрешения просто так.

  • Спасибо (+1) 1
Ссылка на сообщение
Поделиться на другие сайты
2 минуты назад, Umnik сказал:

называется Adminisraotor (встроенная). То есть ты можешь создать себе ещё профиль админа, залогиниться в него, опустить своей рабочей учётке права до Пользователь и повесить на нового админа пароль.

Не понял зачем мне тогда создавать ещё одну учётку, если учетка админа встроенная? 

2 минуты назад, Umnik сказал:

По мере того, как тебе будет лень его вводить, ты будешь совершать меньше ошибок безопасности :) Я так делал до ухода на Линукс, отучал себя тыкать разрешения просто так.

Что значит просто так? Каждый запрос означает, что я скачал какую-то программу и запускаю. Думаешь, необходимость вводить пароль, остановит меня от запуска программы? Но в таком случае зачем я её качал? Очевидно, в любом случае запущу, раз Касперский Плюс на неё не ругается.

Ссылка на сообщение
Поделиться на другие сайты
33 minutes ago, ska79 said:

Где то читал рекомендовали от админа запускать

Нельзя так делать. Во-первых приучаешь себя к плохому поведению - запускать всё подряд от админа, во-вторых ошибка в самом ПО может привести к серьёзным проблемам. Грубо говоря, попытка удалить файл по неправильному пути от админа и от юзера может привести к разным результатам.

35 minutes ago, ska79 said:

ПО запущенное без прав админа не сможет что то сделать

Оно и так не особо может. Ну может прибить процесс, который запущен от этого же пользователя. Прибитый процесс - не страшно и палевно. А вот чтобы прочитать данные другого процесса - уже нужны права админа.

Само предложение, видимо, основано на поведение Unix-подобных систем, где ПО изолируется через пользователей. Это вообще шикарно, но Windows архитектурно на это не ориентирован. Нужно потратить много сил, чтобы добиться похожего поведения.

 

К примеру, вот три процесса рядом и все три работают от разных пользователей у меня:

image.png.417979d3376676a0efc09ab752efcf41.png

1 minute ago, Mrak said:

Не понял зачем мне тогда создавать ещё одну учётку, если учетка админа встроенная?

Чтобы было не как в XP. Встроенная учётка даст тебе поведение, как было у админской учётки в XP. Правда я не знаю, позволяет 10+ в неё логиниться или нет. 7-ка позволяла.

3 minutes ago, Mrak said:

Думаешь, необходимость вводить пароль, остановит меня от запуска программы?

А ты попробуй. Мне помогло. Вдруг и тебе поможет пересмотреть подход.

  • Спасибо (+1) 1
Ссылка на сообщение
Поделиться на другие сайты
4 минуты назад, Umnik сказал:

Чтобы было не как в XP. Встроенная учётка даст тебе поведение, как было у админской учётки в XP. Правда я не знаю, позволяет 10+ в неё логиниться или нет. 7-ка позволяла.

То есть это разные админские права? Встроенная учётка - более крутой админ, чем тот, о создании которого ты говоришь?

Ссылка на сообщение
Поделиться на другие сайты

Админ, который создаётся - это вообще не админ. Это пользователь, которому, так и быть, можно дёргать за рукав настоящего (встроенного) админа в системе. Это что-то вроде использования sudo.

  • Спасибо (+1) 1
Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      В России и Беларуси получила распространение схема с покупкой различными темными личностями реквизитов банковских карт через объявления в Интернете. Порой предложения продать данные их карт поступают и взрослым, но чаще всего объектами этой схемы становятся несовершеннолетние: подростков гораздо проще соблазнить обещанием легких денег, пусть даже совсем небольших. Рассказываем о том, как устроена эта схема и какие могут быть последствия участия в ней.
      Продажа банковских карт подростками. Как работает эта схема
      Все начинается с найденного в Сети объявления, предлагающего подросткам быстрый и простой заработок. Делать ничего особенного не нужно: достаточно открыть банковскую карточку и передать ее полные реквизиты авторам объявления за несколько тысяч рублей. Иногда подростков в эту схему вовлекают сверстники, демонстрируя «легкие деньги» от продажи реквизитов карты.
      Соблазнившись, подросток втайне от родителей подает заявление в банк, открывает счет, получает карту и передает ее данные незнакомцам из Интернета. Обещанный «гонорар» ему действительно выплачивают, вот только после передачи реквизитов через карту начинают идти «левые» транзакции.
      Какие именно операции проводятся с использованием карты? Тут уж как повезет. Это могут быть сравнительно невинные переводы криптовалютных трейдеров, которым постоянно нужны чужие счета для их операций. Но может произойти и кое-что более серьезное. Например, отмывание денег, полученных в результате мошеннической деятельности или торговли наркотиками, а то и переводы, связанные с финансированием терроризма.
      В целом схема построена на том, что подросток не в состоянии заранее предвидеть и оценить возможные неприятности с правоохранительными органами, к которым может привести подобная активность на банковском счете, открытом на его имя.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      «Лаборатория Касперского» уже почти двадцать лет применяет алгоритмы искусственного интеллекта (AI), в первую очередь машинного обучения (ML), в своих продуктах и сервисах. Глубокая экспертиза и опыт в применении этих технологий в области кибербезопасности, уникальные наборы данных, эффективные методы и развитая инфраструктура для обучения моделей лежат в основе нашего подхода к решению ML-задач. Наш центр Kaspersky AI Technology Research объединяет исследователей данных, ML-инженеров, экспертов по угрозам и инфраструктуре, чтобы решать самые амбициозные задачи на стыке сфер AI/ML и кибербезопасности. Среди этих задач — не только разработка прикладных технологий, но и проведение исследований по безопасности AI-алгоритмов, в том числе с применением таких перспективных подходов, как нейроморфное машинное обучение, повышение осведомленности о рисках AI и многое другое.
      Наши технологии и продукты
      В «Лаборатории Касперского» разработано множество AI/ML-технологий детектирования угроз, в первую очередь — для выявления вредоносного ПО. Это и алгоритм на базе глубокой нейросети для обнаружения зловредных исполняемых файлов на основе статических признаков, и ML-технология на базе решающих деревьев для автоматизированного создания детектирующих правил, работающих на устройствах пользователя, и нейросети для обнаружения вредоносного поведения программ при их выполнении. Есть и система выявления вредоносных ресурсов в Интернете на основе анонимной телеметрии, поступающей из установленных у клиентов решений и других источников. Подробнее о них можно почитать в техническом документе Машинное обучение для выявления вредоносного ПО. Другие модели, такие как ML-модель для детектирования мошеннических веб-страниц и DeepQuarantine для карантина писем с подозрением на спам, защищают пользователей от угроз, связанных с фишингом и спамом. Благодаря KSN, нашей облачной инфраструктуре, результаты работы AI становятся максимально быстро доступны пользователям как домашних, так и корпоративных продуктов.
      Перспективы применения генеративного ИИ, в частности больших языковых моделей (LLM), привели к созданию в «Лаборатории Касперского» инфраструктуры для исследования их возможностей и быстрого создания прототипов. Эта инфраструктура, в которой развернуты LLM-инструменты наподобие ChatGPT, не только доступна сотрудникам всех подразделений для решения повседневных задач, но и становится базой для новых решений. Так, уже скоро Kaspersky Threat Intelligence Portal обзаведется новой OSINT-функциональностью на базе LLM — средствами быстрого получения сводки по отчетам об угрозах, связанных с тем или иным индикатором компрометации.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Что может побудить пользователя немедленно зайти в рабочую учетную запись электронной почты? Разумеется, сообщение о том, что кто-то посторонний получил доступ к переписке. Первый порыв ответственного сотрудника, получившего извещение системы безопасности, — узнать подробности, сменить пароль и, может быть, оповестить всех, кого эта компрометация могла затронуть. Но на самом деле, если после прочтения письма возникает желание сделать что-то немедленно, это как раз повод еще раз все перепроверить и обдумать. И вот неплохая иллюстрация этого тезиса.
      Фишинговое письмо
      Письмо, с которого начинается недавно встреченная нами фишинговая атака, притворяется нотификацией от Office 365 и делает это весьма неплохо.

      Тут есть к чему придраться. Логотип Microsoft великоват, и в данном случае он нелогично используется без названия компании. В нотификациях такого рода обычно стоит логотип Office 365. Немного бестолково объясняется, в чем суть предупреждения. То есть, судя по второй строчке, кто-то создал правило пересылки письма, а судя по строке Details, предупреждения такого типа срабатывают, когда кто-то получает доступ к «почте вашего пользователя». Однако эти детали бросаются в глаза, если нотификации от Office 365 приходят часто, а при нормальной работе с почтой это все-таки не так.
       
      View the full article
    • Иван Симоненко
      От Иван Симоненко
      В первый раз решил установить Касперский на пк и столкнулся с проблемой.
      Зарегистрировался на сайте Касперский, после чего установил его на пк и авторизировался, устройство было добавлено. Решил купить годовую подписку "Kaspersky Premium", также там указано, что для этой подписки не требуется код активации и она автоматически активируется в аккаунте. Покупка прошла успешно, всё оплатилось, но в My Kaspersky, в разделе "Подписки" не появляется сама подписка и просто висит строка для ввода кода активации (в приложении на пк так же показывает, что у меня нет лицензии). Техподдержка пишет, что подписка есть на моём аккаунте, но я наверно слепой или что-то не правильно делаю. 
    • KL FC Bot
      От KL FC Bot
      Начался новый учебный год, а значит, у школьников впереди новые знания, новые друзья и новые игры. Обычно после каникул дети глубже погружаются в кибермир — осенью уже не проведешь столько времени на улице вместе с друзьями и школьники объединяются в цифровом пространстве за любимыми играми.
      Но мир гейминга не такое дружелюбное пространство, каким хочет казаться на первый взгляд, и без киберзащиты в нем не обойтись. Нет, с самими играми все в порядке, но вокруг них почти всегда надоедливо крутятся мошенники, злоумышленники и киберпреступники.
      Эксперты «Лаборатории Касперского» провели исследование и выяснили, с какими играми сопряжено больше всего опасностей, каких игроков атакуют чаще и что с этим делать. В полной версии отчета (доступна на английском языке) вы можете найти ответы на эти и другие связанные вопросы.
      Minecraft — любимая игра киберпреступников
      Чтобы получить представление о текущем ландшафте игровых рисков для юных игроков, наши эксперты проанализировали статистику глобальной сети обмена сведениями об угрозах — Kaspersky Security Network (KSN). Там собраны анонимные данные о киберугрозах, которые мы получаем в деперсонализированном виде от наших клиентов на добровольной основе.
      Для исследования мы отобрали самые популярные детские игры и выяснили, что Minecraft, Roblox, Among Us и Brawl Stars — неизменная четверка лидеров по количеству атак с июля 2023 года до июля 2024-го.
      Название игры Количество попыток атак Minecraft 3 094 057 Roblox 1 649 745 Among Us 945 571 Brawl Stars 309 554 Five Nights at Freddy’s 219 033 Fortnite 165 859 Angry Birds 66 754 The Legend of Zelda 33 774 Toca Life World 28 360 Valorant 28 119 Mario Kart 14 682 Subway Surfers 14 254 Overwatch 2 9076 Animal Crossing 8262 Apex Legends 8133  
      View the full article
×
×
  • Создать...