שיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם

cfopuser

@מתכנת-חובב זה הגרסה ה"מקורית" של הוירוס וזה בדיוק הבאג ש cpu z לא הטמיעו הגנות כנגד dll sideloading
ולכן הdll הזדוני נטען במקום הdll של המערכת.

https://gist.github.com/N3mes1s/b5b0b96782b9f832819d2db7c6684f84#1-executive-summary

מתכנת חובב

@cfopuser אהה
כזה פשוט?
הייתי בטוח שזה היה משהו מתוחכם יותר
שהתעסקו להם עם הקוד או ספריות
ואגב זה הגנות שכמעט אף אחד לא מטמיע בתוכנות שלו
פשוט מהמקור הרשמי לא אמורים לבוא dll's זדוניים אז אין סיבה להגן מזה
אבל מעניין
נחקור את זה בהזדמנות
רק מוזר שב IDA לא ראיתי בכלל ייבוא של זה
אני יבדוק ישירות ב hxd
תודה
עריכה: בעצם אני רואה עכשיו שזה כן supply chain attack
מעניין באיזה שלב

cfopuser

@מתכנת-חובב אם כי אכן זה לא אשמת הקוד של cpu z ודבר דומה יכול לקרות אם מריצים תוכנה ממקום כמו תיקיית הורדות שי בתוכה dll זדוני (לא סביר מאוד אבל אפשרי),
התהליך עצמו עדיין מעניין.

cfopuser

@מתכנת-חובב כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

הייתי בטוח שזה היה משהו מתוחכם יותר
שהתעסקו להם עם הקוד או ספריות

אבל אז אתה מפסיד את החתימות וכו'
מה שעשו כאן כמה שזה פשוט ככה זה יעיל.

@מתכנת-חובב כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

פשוט מהמקור הרשמי לא אמורים לבוא dll's זדוניים

רוב הdllים של ווינדוס (סטייל kernel32 וכדו')
מוגנים באמת בריג'סטרי שהסדר טעינה נעול,
פשוט cpu z השתמשו בdll שמצד אחד זמין במערכת מצד שני לא מוגן, וזה חובה של המפתח לאבטח נגד זה.

וזה באמת התגובה שלהם,

We have already added DLL sideloading protection to the main executable, but it appears we need to strengthen it further (or just make it work properly). We are currently working on that.

מתכנת חובב

@cfopuser כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

אבל אז אתה מפסיד את החתימות וכו'

למה מפסיד את החתימות? אם אתה מתעסק להם בקוד הווי אומר שהם חותמים את זה אחרי ההתעסקות שלך

@cfopuser כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

מה שעשו כאן כמה שזה פשוט ככה זה יעיל.

לא יעיל בכלל
משתמש מנוסה ישים לב מיד ל dll הזה

@cfopuser כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

רוב הdllים של ווינדוס (סטייל kernel32 וכדו')
מוגנים באמת בריג'סטרי שהסדר טעינה נעול,
פשוט cpu z השתמשו בdll שמצד אחד זמין במערכת מצד שני לא מוגן, וזה חובה של המפתח לאבטח נגד זה.

לא חושב שחובה וכנ"ל - אם בחרת להוריד dll נגוע למחשב שלך אל תבוא ותתלונן אלא אם כן זה בא מצד המפתח שאז זאת אשמתו בכל אופן

@cfopuser כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

וזה באמת התגובה שלהם,

כמו שכתוב מי שנכוונה ברותחין...
בקיצור זה לא סטנדרט למיטב ידיעתי

cfopuser

@מתכנת-חובב כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

משתמש מנוסה ישים לב מיד ל dll הזה

לא נראה לי בכלל,
אתה מסתכל על שמות של dlls לפני שאתה מריץ תוכנה שמורידים פעם ב?

@מתכנת-חובב כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

לא חושב שחובה וכנ"ל - אם בחרת להוריד dll נגוע למחשב שלך אל תבוא ותתלונן אלא אם כן זה בא מצד המפתח שאז זאת אשמתו בכל אופן

כלי שסומכים עליו כול כך הרבה אנשים וכבר הוכו בעבר במשהו דומה,
היית מצפה שיעשו הגנות כאלה (שלא קשות בכלל להטמעה).

@מתכנת-חובב כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

למה מפסיד את החתימות? אם אתה מתעסק להם בקוד הווי אומר שהם חותמים את זה אחרי ההתעסקות שלך

כמו xz?
חשבתי שאתה מתכוון להתעסקות בשרת עצמו והחלפת הקובץ.

מתכנת חובב

@cfopuser כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

אתה מסתכל על שמות של dlls לפני שאתה מריץ תוכנה שמורידים פעם ב?

תוכנה שמגיעה עם DLL אחד? היה מדליק נורה קטנה
ובכל אופן לא על זה דיברתי
התכוונתי שאם היו משנים משהו בקוד היה לוקח יותר זמן עד שמישהו היה שם לב לזה מאשר אם שמים קובץ בולט בתיקייה שלו - אני לא מאמין שזה החזיק יותר מכמה ימים

@cfopuser כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

כלי שסומכים עליו כול כך הרבה אנשים וכבר הוכו בעבר במשהו דומה,

מעניין לא ידעתי שכבר הוכו
ובכל אופן - אחזור על דעתי
לא משנה כמה זה קל אתה כמפתח לא אמור לעזור למשתמש להגן על המחשב שלו
הבעיה היא ב DLL לא בתוכנה

@cfopuser כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

כמו xz?

כמו מאות או אלפי התקפות דומות
זה חלק מהעניין של מתקפת שרשרת אספקה
רק שכאן המתקפה נכנסה בשלב מאוחר כלשהו
אולי מחר יהיה לי זמן לקרוא את זה (באמת למגילה הזאת הם קראו summary???)

מתכנת חובב

כתב בשיתוף | הורדתם בימים האחרונים את CPU-Z והרצתם? תבדקו מהר את המחשב שלכם:

רק מוזר שב IDA לא ראיתי בכלל ייבוא של זה
אני יבדוק ישירות ב hxd

גם ב IAT לא מצאתי את זה אבל אז ראיתי בדו"ח שלהם שזה dll שמיובא על ידי dll אחר שאותו התוכנה כן מייבאת - advapi32.dll ולמרות שאותו dll כן נמצא ב KnownDLLs התלויות שלו לא מושפעות מזה ואחת התלויות שלו היא CRYPTBASE שהוחלפה בקובץ זדוני

לילות כימים

בגרסה הניידת שלהם גם הייתה הבעיה?

חד בדרא השני

כיצד ניתן לבודק אם קרה משהו?