Forum
Aktif konular
Üyeler
Kurallar
Arama
Tahribat.com Forumları 
Hertürlü Web tabanlı Saldırı Taktik ve Stratejileri 
Siber Savaş NSA'in Equationapt Saldırısı Siber Savaş NSA'in Equationapt Saldırısı
-
kvasir bunu yazdıSeRDaR bunu yazdı
Benim merak ettiğim firmware ye sızan virüs nasıl yazılabiliyor bu çok tehlikeli bir olay nasıl müdehale ediliyor
bunun nasıl mümkün olduğunu olabileceğini yazılımcı arkaşlardan bilgisi olan varsa bizim anlayacağımız dilden anlatırsa sevinirim.
bilgilenmiş oluruzlinkteki dökümandan aklımda kaldığı kadarıyla sadece harddisk üreticisinin bildiği komutlar var firmware'da, işin ilginç yanı zaten bu zararlının bu komutları bilmesi.
Fiber optik kablolara midm yapabilecek kadar manyak bir teşkilat sadece nsa, bu komutları ele geçirmiş olmaları çok zor olmasa gerek. Kimi sitelerde NSA'nın sipariş edilen Cisco cihazları önce kendilerine yöneltip yazılımını değiştirdikleri sonra da gitmesi gereken yere gönderdiklerini yazmış.
-
Site gitmeden öncede yazmistim.
klasik reklamdan baska birsey degil.
Bir tarafta karalanan markalar var.
Diğer tarafta ben bu markalarin boyasini cikardim diyen yazilim firmasi var.
cok kafa karistiran bir durum.
-
Converting the ranges to their respective countries (except for 64.38.3.50, which is the only specific IP mentioned) we get the following TOP 3 countries that will NOT be exploited: 1. Jordan 2. Turkey 3. Egypt This means that the attackers have taken special care not to infect users visiting from certain ISPs in these countries.
Burası ciddi anlamda kafamı kurcalamaya başladı. Düşünceleri olan söylesin merak içindeyim.
-
Fatih54 bunu yazdı
Converting the ranges to their respective countries (except for 64.38.3.50, which is the only specific IP mentioned) we get the following TOP 3 countries that will NOT be exploited: 1. Jordan 2. Turkey 3. Egypt This means that the attackers have taken special care not to infect users visiting from certain ISPs in these countries.
Burası ciddi anlamda kafamı kurcalamaya başladı. Düşünceleri olan söylesin merak içindeyim.
eger sogru anlamissam zaten bu ulkelerden istedikleri gibi veri alabildikleri icindir.
-
kvasir bunu yazdıSeRDaR bunu yazdı
Benim merak ettiğim firmware ye sızan virüs nasıl yazılabiliyor bu çok tehlikeli bir olay nasıl müdehale ediliyor
bunun nasıl mümkün olduğunu olabileceğini yazılımcı arkaşlardan bilgisi olan varsa bizim anlayacağımız dilden anlatırsa sevinirim.
bilgilenmiş oluruzlinkteki dökümandan aklımda kaldığı kadarıyla sadece harddisk üreticisinin bildiği komutlar var firmware'da, işin ilginç yanı zaten bu zararlının bu komutları bilmesi.
Mevcut firmware'ın incelenmesi ve osiloskop/logic analyzer yardımıyla hiç dokümantasyon olmasa da komutlar ortaya çıkarılabilir. Sistem kompleks ise haliyle harcanan zaman da artar ancak temelden başlayıp yukarıya doğru ilerlenebilir. Zaten kullanılan çoğu microcontroller benzer bir şekilde işliyor. HDD'lerin (teknolojisine bağlı olarak) genel işleyişi de aynı şekilde. Ayrıca I2C, SMBus, vb. belli başlı protokoller var.
Aşağıdaki linkte görüleceği üzere IDA Pro'nun geliştiricisi olan Hex-Rays'te çalışan bir amca 5 yıl oturmuş ve koskoca Intel Management Engine üzerinde muazzam bir reverse engineering çalışması yapmış ve pek çok şeyi ortaya çıkarmış.https://recon.cx/2014/slides/Recon%202014%20Skochinsky.pdf
Firmware güncellemesi konusunda da update yazılımının kullandığı driver'ın izlediği yol izlenebilir ya da aktarılan data, logic analyzer ile incelenip karşı tarafın hangi üslupla konuşulduğunda anladığı ortaya çıkarılabilir. 12 yıl öncesi düşünüldüğünde bir embedded sistemin doğru düzgün bir güvenliğinin olacağını sanmıyorum. O dönem en popüler yazılımlarda bile yoktu. Hatta bugün dahi çoğu embedded sistemde güvenlik yok. Zira embedded sistem ancak kendi işini yapabilecek güçte iken bir de uçuk hacking çalışmalarını düşünüp güvenlik overhead'i bindirmek istemiyorlar. Çok gerekiyorsa genelde bu da ek donanımla, self-destruction metodlarıyla hallediliyor.
Firmware konusunda bahsedildiği üzere çok fazla donanım spesifik detaylar var. Reverse Engineering çalışmasının yanında her üretici için farklı firmware'lar yazmak ve programlayıcı malware'a kadar oluşturmak, işin profesyonelliği bir yana çok fazla zaman alacak bir işlem. Arkasında bir kurumun/şirketin olduğu belli.Ama bu zararlı firmware yazılan HDD'lerin kullandığı controller'lar aynı üreticiden midir, mimarisi benzer midir, instruction set'i nedir vs. buna bağlı olarak yapılacak iş de o kadar ortak hale getirilip kısaltılabilir. Sonuçta belli başlı konularda çalışan donanım üreticileri var, bunun yanında belli başlı standartlar var. Bir de bu firmware büyük ihtimalle 0'dan yazılmak yerine mevcut firmware'a yapılan patchler ile değiştirilmiş, zararlı kod ile birleştirilip (sistemin update edilebilir olması sebebiyle yeterli alan olduğunu varsayıyorum) sistemin imza kontrolüne uygun şekilde düzenlenip gönderilmiştir.
Bir diğer konu, bu firmware bütün olanakları sağlıyor mu, yani orjinal olan firmware'da çok nadiren gerçekleşen hatalarda çalışacak olan rutinler bunda da var mı? Yoksa gözardı mı edildiler? Strict kontroller üzerine zaman harcamayıp en basit halleriyle geçilmiş olabilir. Ayrıca, belli durumlarda çalıştırılacak algoritmalar da belli olduğundan tekrar aynı şeyi keşfetmelerine de gerek yok. Bu da harcanan zamanı kısaltır.
Neyse, öyle ya da böyle sağlam, şapka çıkartılacak türden bir çalışma. Üzerinden geçen yıl da hesaba katıldığında emeği geçen dedeleri tebrik ederim.
-
Konuya hakim olmamakla beraber aklıma felaket komplo teorilerini getiriyor
1- Üretici Firma kaynaklı olabilir,
1a- Firma yönetimi ister; yazılımcılar ekler
1b- Firmanın haylaz yazılımcısı 14yıl sürecek küçük bir şaka yapar
2- NSA gibi bir kurumun yada İntel gibi bir şirketin dışarıdan müdahalesi ile olur
2a- Daha işin başında firmware'e kod gömülür
2b- İnternet ağını elinde bulunduran Şirket yada Kurumlar tarafından güncellemeler sayesinde yapılır
2c- Henüz açığa çıkmamış başka bir donanımın firmware yazılımı ile yapılır ve suç harddisk üreticisine kalır
3-Firmware yazılımının compile aşamasında derleyici tarafından yerleştirilir
4-Tüm dünya çok salaktır ve birtane zeki heykır tüm harddisklere yerleşecek bir virüs yapar
Hangisi olursa olsun kendimi salak yerine konulmuş gibi hissediyorum...
-
Bence o firmalara sızdılar ajanlar o arada kaynattılar her şeyi
-
O değilde FireX hocam geri gelmen çok şukela oldu. Adam gibi bilgi alabiliyoruz artık hiç değilse.
-
Equation group tarafından yazılmış duqu 2.0 için teknik rapor kaspersky tarafından yayınlandı.
Aynı grubun yediği diğer boklar için:
https://securelist.com/files/2015/02/Equation_group_questions_and_answers.pdf
Özellikle ikinci pdf'i kesinlikle tavsiye ederim.
Edit: ilk postta zaten verilmiş ikinci pdf :P
pcdoktor636 tarafından 14/Haz/15 21:36 tarihinde düzenlenmiştir
Kısayol
Şikayet
Özel Mesaj
Alıntı yap
Cevapla