狠狠撸

ステルスルートキット
悪いヤツはどうラ?ブフォレンジックをすり抜ける?

Tsukasa Ooi <li@livegrid.org>
Livegrid Incorporated, Lead Analyst

関連する事項
? ラ?ブメモリフォレンジック
? ?ンチフォレンジック
? Rootkit

ラ?ブメモリフォレンジックとは?
? 動作しているマシンのメモリを基に
解析を行うフォレンジック手法
– “証拠”の収集
– マルウェ?の検索
? 一般には物理メモリのダンプにより達成される

ラ?ブメモリフォレンジックのプロセス
1. 専用ツールで物理メモリの内容を取得する
a. ツールが物理メモリをマップする
b. マップした物理メモリの内容をコピーする
c. コピーした内容を保存する
2. 物理メモリダンプをフォレンジックソフトウェ?に
入力する
3. フォレンジックソフトウェ?で解析を行う
a. システムの内容をダンプから復元する
b. 復元したシステムの内容を解析する

?ンチフォレンジックとは? (1)
? フォレンジック手法により解析されることを
防ぐ、もしくは偽の情報を解析させる手法
? 注意すべきは “攻撃者” だけではない!
– 管理を逃れたい “悪いヤツ” が自らのコンピュータに
?ンチフォレンジック手法を適用する場合がありうる!

?ンチフォレンジックとは? (2)
? ?ンチフォレンジック手法が “存在する”
だけで意味がある
– フォレンジックの信頼性が失われる
– もはやハックする必要すらない
– そのため、 “証拠” があるにも関わらず
敗訴するということがあり得る!
? つまり、フォレンジックは信頼性が命である

ラ?ブメモリフォレンジックのプロセス
1. 専用ツールで物理メモリの内容を取得する
a. ツールが物理メモリをマップする
b. マップした物理メモリの内容をコピーする
この部分をハックする!
c. コピーした内容を保存する
2. 物理メモリダンプをフォレンジックソフトウェ?に
入力する
3. フォレンジックソフトウェ?で解析を行う
a. システムの内容をダンプから復元する
b. 復元したシステムの内容を解析する

Result was…

ROOTKIT がどこまでできる?

まずは “怪しい伝説” みたいに。
? EnCase
? WinEN
? FastDump
? dd, Forensic Acquisition Tools, win32dd,
Memory DD…
? Windows 休止状態 (hiberfil.sys)
? Microsoft Windows クラッシュダンプ (*.dmp)

Fact (1):

ほとんどのフォレンジック入力から
不可視である

“なぜ” そうなる?
? ページテーブルの乗っ取り (Subverting)
– Shadow Paging
? 現在のフォレンジックソフトウェ?の弱点

ページテーブルとは? (1)
? 物理的なメモリレ??ウトと論理的な構造を
分離する機構
? CPU が?クセスする?ドレス (リニ??ドレス) を、
物理的な?ドレスに変換するためのテーブル
? 論理?ドレス空間を、(基本的に 4KiB の)
「ページ」と呼ばれる領域に分割して管理する


Chunk A

Page Table

Chunk B

Physical Memory Logical Space

Linear Physical
0x12345000 0x14fab000
0x12346000 0x0c812000
0x12347000 (Not Present)
0x12348000 0x215d9000
0x12349000 0x4991f000

Linear Address Physical Address
0x12346804 0x0c812804

Linear Physical
0x12345000 0x14fab000
0x12346000 0x0c812000
0x12347000 (Not Present)
0x12348000 0x215d9000
0x12349000 0x4991f000

Linear Address
0x12347804 ページフォルト発生

? ページフォルト (例外)
– リニ??ドレスに対応する物理?ドレスがない場合や、
ページの?クセス制御に沿わない?クセスがあった場合に
発生する例外
– IDT によって示されるページフォルトハンドラによって処理される
? ページの?クセス制御
– 物理?ドレスが存在するか否か (P bit) 以外にも存在する
– 書き込み可能か否か : R/W bit
– ?プリケーションからは読み書き禁止か否か : U/S bit
– ページの実行が禁止されているか : NX bit

? ページテーブルに関連するシステムレジスタがある
– CR3
ページテーブルへの物理?ドレスを指定する
– CR2
ページフォルトが発生したとき、そのフォルトを
発生させたリニ??ドレスが格納される

? ページテーブルは、メモリ管理において
極めて重要な構造体である
? rootkit にとっても…

What rootkit do:

ページテーブルの制御を奪う

Shadow Paging (1)
? 本来は、仮想化においてゲスト OS の
メモリ空間を仮想化する手法の一つ
? ページテーブルの複製を作成し、
片方に生じた変更をもう片方へ反映する
? 本来は、CPU の仮想化支援機能に頼らなければ
Shadow Paging を実行することができない

“通常の” Shadow Paging (1)
? OS のページテーブルを書き込み禁止にする
? ページテーブル書き換えをページフォルトで検出し、
該当する操作に対応する操作を Shadow Page Table
に対して行う。

Linear Physical Linear Physical (Virtualized) Physical (Real)
0x12345000 0x14fab000 0x12345000 0x14fab000 0x24f03000
0x12346000 0x0c812000 0x12346000 0x0c812000 0x12580000
0x12347000 0x44ab1000 → 0x31442000 0x12347000 0x44ab1000 → 0x31442000 0x1dabc000 → 0x4d3f2000
0x12348000 0x215d9000 0x12348000 0x215d9000 0x379df000
0x12349000 0x4991f000 0x12349000 0x4991f000 0x0732f000

(Virtualized) Page Table Shadow (Real) Page Table

“通常の” Shadow Paging (2)
? “通常は” 書き換えたページテーブルと Shadow が
同じ意味になるように対応する書き換えを行う

データ

Page Table Shadow Page Table

Shadow Paging (2)
? ところが、一定条件を満たせば
Shadow Paging を実装することができる。
– CR0.WP bit が常に 1 であること
– CR3 の変更は OS の既知の箇所でのみ行われること
– ページフォルトハンドラをフックできること
– (その他多数あるが省略)
? 通常の条件においては、ほとんどの OS が
これらの条件を満たす (Windows, Linux など)

ページテーブルの制御を奪う!
1. ページフォルトハンドラを自らの
(rootkit の) ものにセットする
2. OS から参照するページテーブルとは別の
(rootkit のための) ページテーブルを作成し、
Shadow Paging を実行する
3. remapping されるメモリ領域の偽装を行う

“悪意ある” Shadow Paging (1)
? 悪意ある Shadow Paging においては、
特定の (悪意ある) データへのマッピングを改竄する

悪意あるデータ

Page Table Shadow Page Table
改竄する!

悪意なきデータ

? ページテーブルの書き換えを監視する
? 書き換えられた際、次の事項をチェックする
– 物理?ドレスが、悪意ある (改竄された)
データまたはコードであること
– 対応するリニ??ドレスが、悪意あるデータまたはコードが
本来存在するべきリニ??ドレス “ではない” こと
? この 2 条件を満たす場合、 rootkit は
対応するページテーブルへのマッピングを改竄する


Address A 悪意あるデータ Address A
本来の?ドレス



本来の?ドレス

Address B Address B
フォレンジックソフトが Shadow Paging がなかったり、
マップする悪意なき Shadow Paging ではこうなるはず。
新しい?ドレス



本来の?ドレス

Address B Address B
フォレンジックソフトがこのようなマッピングを
マップするリダ?レクトする!
新しい?ドレス


? 例のような別?ドレスへのマッピングは、
ほとんどのフォレンジックソフトウェ?が
行っていることと全く同じである
– それだけではなく、クラッシュダンプやハ?バネーション
フ??ルの生成時にも同様のことが行われる
? 結果として、ほとんどのフォレンジックソフトウェ?や
Windows のダンプする形式からは不可視となる!
? また、偽造できるメモリは “ほとんど全て” である

フォレンジックソフトウェ?の弱点 (1)
? rootkit が “存在できる” コンテキストの中で
物理メモリの取得を行っていること
– 物理メモリ中にページフォルトが発生しうる
– (汚染の可能性がある) OS の機能を信用してしまっている
? それ以外にもある!

フォレンジックソフトウェ?の弱点 (2)
? ?Device?PhysicalMemory を利用している
フォレンジックソフトウェ?が多い
– 3 年前に?ンチフォレンジック実装が
作られているにも関わらず!
(DDefy : http://www.slideshare.net/amiable_indian/antiforensic-rootkits)
– EnCase, FastDump を含めた多数のソフトウェ?が
このデバ?スを物理メモリの取得に用いている
? このデバ?スが単一障害点となりうる
– もっと単純にこのデバ?スのみをフックすることで
今回の rootkit 程ではないものの、かなりの
商用ソフトウェ?を欺くことができる。

Fact (2):

現在のフォレンジックソフトウェ?を
ROOTKIT 検出に使ってはならない

現在のソフトウェ?だけで対処する方法 (1)
? rootkit 検出にはローカルで動作する専用
ソフトウェ?を用いる (GMER, Rootkit Unhooker…)
– 実は、ローカルで検出する限りでは
検出が難しい類の rootkit ではない
– 上記ソフトウェ?を利用することで、rootkit が
使用しているフックを検出し、場合によっては訂正できる
? フォレンジック入力を信用しない

現在のソフトウェ?だけで対処する方法 (2)
? しかし、これは対症療法でしかない
– rootkit が?ンストールされている際には
フォレンジック入力が全く信頼できないことには
変わりがない
? ツールの実装を改良して rootkit に対抗できる?
…YES

Anti-Anti-Forensics:

ROOTKIT に対抗して
信頼できる物理メモリを取得する

以前のスラ?ドを思い出そう…

Previous 狠狠撸 : Shadow Paging (2)
? ところが、一定条件を満たせば
Shadow Paging を実装することができる。
– CR0.WP bit が常に 1 であること
– CR3 の変更は OS の既知の箇所でのみ行われること
– ページフォルトハンドラをフックできること
– (その他多数あるが省略)
? 通常の条件においては、ほとんどの OS が
これらの条件を満たす (Windows, Linux など)

対抗する方法 (1)
? Shadow Paging が依存している前提を崩す
– CR0.WP bit を 0 にする
– CR3 (ページテーブルへのポ?ンタ) を自ら変更する
– ページフォルトハンドラを自らの制御下に置く
? この方法が最も簡単で効果が高い!

CR3

Shadow
Page Table
Page Table

CR3

Shadow Own
Page Table
Page Table Page Table

? 全ての割り込み (例外含む) をフックするため、
LIDT 命令を実行し割り込みベクトルを変更する
? 自らページテーブルを作成する
? そのページテーブルへの物理?ドレスを
CR3 レジスタに設定し、物理メモリを取得する

? まだ問題はあるものの、
信頼できる物理メモリを取得することができる。

残る (が特に対処する必要はない) 問題 (1)
? rootkit の制御下においては、リニ??ドレスに
対応する正しい物理?ドレスを得る方法はない!
– 言いかえれば、新しく作成したページテーブルが
正常かどうかは検証することができない
– rootkit はまだ、ページテーブルの
作成を妨害することが理論上可能である
? 例えば、新しいページテーブルに置き換えようとした瞬間に
コンピュータをリセットするような攻撃がまだ可能である。

残る (が特に対処する必要はない) 問題 (2)
? しかし、改良した実装を用いた場合、
利用者に気づかれず物理メモリの内容だけを
欺くことはほぼ不可能である。
– コンピュータをリセットするなどの攻撃は可能だが、
それでは利用者に気づかれてしまう。

Consideration about these rootkits

ROOTKIT についての考察

rootkit についての考察 (1)
? PoC においては Intel x86 + Windows 向けの
実装を行ったが、理論そのものは
クロスプラットフォームである
– x86 ?ーキテクチャ上の別のオペレーテ?ングシステム
? Linux, Mac OS X…
– x86_64 ?ーキテクチャ
– その他かなりのページング機能つき
CPU においても理論上は実行可能

? 本 rootkit のフックは、休止状態で保存される
フ??ルからは検出することができない
– 言いかえれば、コンピュータを休止状態にすれば
偽装した (悪意のない) メモリ内容で上書きされる
– つまり、rootkit が消えてしまう
– これを防ぐには再感染用のコードを残す必要があるが、
これは同時に検出の可能性を上げることを意味する

? マルチコ?向けの実装が非常に困難である
– ページテーブルの状態が不安定になることがあり、
これに対処するために多くのコードを必要とする。
– 公開予定の PoC 実装においては、
マルチコ?に一切対応しない。
? 教育用実装であるため、実装の複雑さを回避した
? 悪用を防ぐために機能を削った

? rootkit が影響を及ぼさないものもある
– 改良された実装
– 仮想マシンのステートフ??ル
? VMware : *.vmem
– ハードウェ?によるダンプ
? 1394memimage (FireWire / IEEE1394)

まとめ
? 現在のラ?ブメモリフォレンジックは “壊れて” いる
? rootkit を検出したい場合、
ローカルで動作するソフトウェ?を併用せよ
? rootkit に対抗する方法はある
? 一刻を争うほどではないが、
将来の攻撃に備えフォレンジック実装を改良すべき

Have any questions?

THANK YOU.
Tsukasa Ooi <li@livegrid.org>
Livegrid Incorporated, Lead Analyst

技術文書とソースコード
? 2009年11月公開予定
? http://a4lg.com/ において公开予定

狠狠撸

ステルスルートキット : 悪いヤツはどうライブメモリフォレンジックをすり抜ける? - PacSec 2009

More Related Content

ステルスルートキット : 悪いヤツはどうライブメモリフォレンジックをすり抜ける? - PacSec 2009