Dotaz: Nákaza Ubuntu z Windows

[martinlada]

Na jednom disku mám nainstalováno Ubuntu a Windows, velice často stahuji do Windows software z nedůvěryhodných zdrojů (tpb,filesharing servery) který často obsahuje různou havěť. Je možné, aby se škodlivý software z Windows infiltroval do Ubuntu?

---

---

Odpovědi

[Jendа]

Ano, je to možné.

[tomvec]

Já teda nechci rýpat, ale od kdy Windows (by default) vidí EXT souborový systém? Nebo máme tak sofistikovaný malware pro Windows, který má vlastní ovladače pro EXT a pokud na PC najde EXT oddíl, tak do něj nějak nainstaluje malware pro linux?

[Pavel 'TIGER' Růžička]

No budu stahovat v linuxu a archiv si v něm i rozbalim a případně přečtu readme ... a je hotovo. Nicméně nejde o nějaký malware, ale o získání údajů z profilu, což je mnohem cenější. Pak to samé spustím ve windows a už to jede .... nicméně je i wine, a pokud ho někdo nastaví na windows oddíl, je to také bezpečnostní riziko.

[tomvec]

Já jsem otázku pochopil tak, že je nabootovaný do Windows, stahuje kdejaký bordel a má strach, jestli mu to v tom okamžiku neinfikuje (nenabootovaný) linux.

[Jendа]

Já teda nechci rýpat, ale od kdy Windows (by default) vidí EXT souborový systém?

Není potřeba by default. Stáhnul si můj malware. Protože neumím programovat pro Windows, můj malware je virtuální stroj s miniaturní linuxovou distribucí - pochopitelně včetně driveru FS.

[petrfm]

Proto je nejlepsi windows jedine virtualizovat. Ten virus od MS je nebezpecny i v multibootu

[Jendа]

Nikoli.

[petrfm]

To je hnus... takze ono se da skrze diry ve VirtualBoxu prokousat az do hostitele? To je prijemne zjisteni, zase se mi bude lepe spat

[lertimir]

Kdysi (asi před 8 lety když jsem dělal i do zkoumání virů) jsem to řešil krátkodobými jednoúčelovými virtualizovanými win přimo pod VMware. Tedy nakopírování nové instalace spuštění virtuálních win., infikování, zastavení, a binární porovnání původního a změněného virtuálního stroje. Nečetl jsem ten odkaz pozorně, ale mám dojem, že útok funguje jen přes "přídavky pro hosta", které integrují grafické prostředí.

[Petr]

Tohle je chyba, neměl by to být normální stav. Kdežto při multibootu mají Windows plnou kontrolu nad počítačem a můžou si s ostatními diskovými oddíly dělat, co chtějí – aniž by někde musela být chyba/díra.

Jinak souhlas, to svinstvo je lepší nemít vůbec, nebo ho provozovat na úplně odděleném hardwaru.

Nicméně virtualizace se dneska běžně používá i pro oddělení virtuálů různých zákazníků – věci, které musí být striktně izolované. Jedou na tom v podstatě všichni.

[R]

Teoreticky ano. Prakticky asi neexistuje nieco, co by malo v sebe driver na linuxove filesystemy a vedelo to z Windows infikovat Linux.

[Pavel 'TIGER' Růžička]

Při splnění určitých podmínek ano.

[Jooky (inactive)]

Ano, je to mozne. Otazne je ci tvoja kombinacia Linux/Windows je dostatocne zaujimava na to, aby niekto taky malware vyrabal. Ja by som sa skorsie obaval ci nejaky malware neposkodi strukturu disku a tym odpali data aj v Ubuntu, alebo nejak poskodi samotny HW (bios, fw v zariadeniach, etc.).

[kpolpo]

prakticky muzes spustit nejake upravene explore2fs etc. stahnout celou kopii partisny.. mistni odbornici to jiste upresni

[Petr Šobáň]

Windows neumí číst - zapisovat na oddíly s linuxem (fs).

Ale nějaká breberka může poškodit kopírovat nějaké sektory HDD bez ohledu jak je HDD rozdělen a co tam je takže může poškodit jiný OS v jiném oddílu.

[Jendа]

Windows neumí číst - zapisovat na oddíly s linuxem (fs).

Asi mám nějaká jiná Windows.

[Petr Šobáň]

A která windows to umí číst třeba ext4?

Mám w95, visty, w8.1 a žádné to neumí.....ani neumí rozeznat oddíl s linuxem - je to neznámý oddíl

[Jendа]

Ext2Fsd?

[Petr Šobáň]

Ale to nejsou windows - to je program (ovladač) třetí strany samotné windows to neumí!

A ten instalovat nebudu ještě by mě windows zasvinily linux )

[Jendа]

Virus, o kterém je řeč, je taky program třetí strany.

[Václav "Darm" Novák]

A vir v sobě samozřejmě nemůže obsahovat driver na linuxové FS. Jasně

[Petr Šobáň]

Může proč by nemohl, ale toto je málo pravděpodobné - pravděpodobnější je že bude krást celé sektory a posílat je na analýzu jinam či je bude mazat a pod...

[Václav "Darm" Novák]

Dotaz zněl jestli je to možné, ne jestli je to pravděpodobné. Možné to je.

[frdrx]

Řešení je smazat Windows. Má to i mnohé jiné přínosy.

[R]

Ale naco mu potom bude ten warez?

[frdrx]

Na to, aby ho taky smazal.

[pedro m]

ne, zadnym zpusobem to neudelas, umyslne nepocitam, a ani tam bych si nebyl jisty jestli by to tu 99% lidi dokazalo

[Václav "Darm" Novák]

Stačí aby to dokázal tvůrce viru. A zas takový problém to není. To že se infikovat linuxové distribuce přes dualboot pravděpodobně nevyplatí a takový útok by byl s nejvyšší pravděpodobností cílený na konkrétní stroj je věc jiná.

[Václav "Darm" Novák]

Myslím si že byla otázka špatně položena, měl ses zeptat jestli je to pravděpodobné Prakticky ne.

[Petr Šobáň]

No to není tak jisté - že se bude vrtat v linuxovém fs je malá pravděpodobnost, ale že pomaže nějaké sektory na HDD a nebo je odešle jinam je už podle mě větší pravděpodobnost.

[DarkKnight]

A zkopirovani sektoru = infiltrovani Ubuntu?

[pedro]

A proč by to někdo dělal, co by tím získal? Vy se tady bavíte na úrovni teoretické fyziky a otázky, zda lze zničit vesmír. Nechť zadaný úkol někdo implementuje, alespoň na úrovni "proof of concept" a pak se o tom můžeme dál bavit.

[Václav "Darm" Novák]

K čemu proof of concept? Narozdíl od otázky zda lze zničit vesmír je zde zjevné, že reálné řešení existuje.

Existují viry schopné získat administrátorské oprávnění ve Windows? Ano.

Existují ovladače na linuxové FS pro Windows? Ne na všechny, ale Ano.

Lze tyto dvě věci zkombinovat a díky tomu infikovat Linux na jiném diskovém oddílu? Nevidím jediný důvod proč by to nešlo.

[pedro]

Proč? Protože je to pořád teorie na úrovni, že vesmír je možné teoreticky zničit. Tak to napiš a někam nahraj, abychom se měli o čem bavit. Podle mého názoru na tom shoříš jako papír

[Fuky]

Opatrně s tou sebejistotou. Vašek to napsal správně, samozřejmě, že takový škodlivý kód lze dnes bez problémů napsat a to, že to asi ještě nikdo neudělal souvisí jen s malou penetrací Linuxu na desktopu, nikomu se prozatím do toho nevyplatí investovat čas.

Mrkni se na Příchod hackerů: zrod botnetů. V tom článku je krásně vidět, že jakmile jsou k dispozici jednotlivé kousky puzzle, je jen otázkou času než je někdo poskládá ku obrazu svému a to poskládání proběhne teprve ve chvíli, kdy pro to bude mít dostatečnou motivaci.

Tak to napiš a někam nahraj, abychom se měli o čem bavit.

Tak to zaplať... A v tom to je, nikdo ti nebude investovat X člověkohodin jen tak, bez pořádné motivace.

[pedro]

Vtip je v tom, že ten úkol není triviální. Netvrdím, že je to nemožné, je to teoreticky možné. Já tvrdím, že to tady nikdo z expertů, co se o tom baví jako o nedělním čaji, neumí. Nadhozená otázka, jestli je to ekonomické, ev. některé specifické otázky technické (např. jak by se malware šířil apod.) jsou až druhé v řadě. Podstata věci, kterou tady všichni ignorujete je, že jde o velmi složitý technický problém.

[Jendа]

Podstata věci, kterou tady všichni ignorujete je, že jde o velmi složitý technický problém.

Já teda Windows vůbec nerozumím, ale to ext2fsd vypadá, že stačí spustit instalační skript a ono se to prostě stane.

[pedro]

Co se stane? Ext2fsd je ten slibovaný malware?

[Jendа]

Získáš read-write přístup na ext3. Pak už je na tvém malwaru, aby otevřel etc/rc.local a přidal tam jeden řádek.

[pedro]

To získáš, sice ne za běhu, ale OK. Problém je jinde - ty jako autor malwaru vytvoříš jeden malware, který efektivně napadá Windows, abys vytvořil driver pro FS, který není ve Win jádře, dále ten driver nějak propašuješ do systému, abys na linuxovou partition nahrál malware efektivní na Linuxu. To je snad technicky nejsložitější řešení problému, jak napadnout ten linuxový stroj. Sci-fi, možné, ale technicky složité, jak jsem již napsal.

[Václav "Darm" Novák]

Proč bych tvořil driver, když už jeden existuje jako open source? Pokud propašuju do systému malware který získá admin práva přes nějaký nový exploit (popřípadě jen zneužije blbost uživatele a klikací reflex jakmile vyskočí UAC), je přibalení další věci trivka, protože mám nad systémem kontrolu. Nahrát na Linux cokoliv chci není problém.

Jediný problém je v tom, že potenciálních kombinací je víc, asi bych to směroval jen na kombinaci Windows 7, Windows 8 a Ubuntu s Ext (předpokládám že to bude nejčastější distro v dual bootu). Praktičnost něčeho takového je malá, nejspíš by se to vyplatilo jen v případě, kdy chci napadnout konkrétní stroj.

[pedro]

Tak to jsem rád, že jsme se shodli, o jakéže to pitomosti se tady bavíte

[Václav "Darm" Novák]

Však říkám už od začátku že je to pitomost a nevyplatí se to, ale narozdíl od tebe netvrdím že je to nějaký světoborný problém udělat  

[pedro]

Viz o 2 prispevky vyse To je tak evidentni, ze to neokecas

[Václav "Darm" Novák]

Myslíš ten problém? No, tak by se použilo víc FS driverů. Pokud se spolehnu na Ubuntu, ušetřím si maličko práci, ale jinak nejem vázán na distribuci. Problém pro malware a viry na Linux je v příliš heterogenním prostředí a faktu, že se nemohu spolehnout na jeden exploit všude. Tady útočím přes jednu společnou zranitelnost která je zcela mimo distribuci (windows), takže napadnout Linuxový systém je mnohem snazší.

[pedro]

Blbost, pokud se podivam na ten koncepcni popis od Jendy, tak A) nemam ext file system, B) nemam rc.local. Takze ta heterogenita je tam porad a na mem konkretnim stroji by tento postup nikam nevedl. Btw. jak se ten malware dostal na Windows? Nejaky trouba (zrejme ten stejny, co pouziva i to Ubuntu) nekde stahnul nejakou binarku, proc by tu binarku nemohl stahnout pro Linux?

[Václav "Darm" Novák]

Nebo šel na web s flash exploitem, java exploitem, schytal červa využívajícího zranitelnost systému… nemáš rc.local, ale máš třeba bashrc.

[pedro]

Jiste. Proste sirit malware pro Linux, pokud ho uz mam a funguje mi pres infikovani Windows systemu je delat z jednoho problemu tri. Tot vse.

[Václav "Darm" Novák]

Otázka byla jestli to jde. Jde. Složité to není, základ – malware s rootkitem – se dá i koupit nějaký komerční. To že se to nevyplatí a že nebude příliš velké množství potenciálních cílů je věc jiná a nebylo to předmětem dotazu.

[pedro]

Udělat místo malware pro Linux malware pro Windows, použitelný FS driver a malware pro Linux opravdu vůbec není (zbytečně) složité. Nota bene se tady celou dobu bavíme o dvou malware softwarech - jeden pro Windows, jeden pro Linux - to jenom kdybys chtěl ještě zapřemýšlet k předmětu dotazu.

[Václav "Darm" Novák]

Je to zbytečně složité, ale mnohem méně než ses snažil srovnáním s destrukcí vesmíru naznačit. Je to dostatečně složité na to, aby se to nevyplatilo, ale spíše na úrovni „zbytečná práce navíc“.

[pedro]

Já jsem tou paralelou naznačoval docela jasně, že jde o planou teoretickou diskusi. O složitosti jsem tady mluvil až později v jiném příspěvku a upřímně řečeno si myslím, že technickou náročnost zadaného úkolu nedoceňuješ z neznalosti.

[Václav "Darm" Novák]

Neřekl bych že mé znalosti Linuxu jsou na malé úrovni. V případě že se dostanu na linuxový oddíl bych si rady věděl bez problémů. Takže tady problém není. Win ovladače pro linuxové FS existují, takže tam problém také není, ostatně, demonstroval to Jenda. Existence škodlivého kódu schopného eskalovat práva uživatele pod Windows je snad bez pochyby. Takže jediné co neumím je naprogramovat ten malware.

Pokud pominu možnost že si najdu nějaký exploit a začnu se učit psát malware, různě se dají zakoupit hotová řešení tohoto problému, kterým jen stačí předhodit co mají po úspěšném napadení spustit.

Takže to by byla první zábrana. Druhou je rozdílnost systémů. Jako první potřebuji najít root oddíl a připojit ho. Jednoduchý skript, pár již existujících utilit (a samozřejmě všechny ovladače na linuxové FS pro Windows které existují). Pak ideálně infikovat init. Zjistit jestli systém používá sysvinit, systemd nebo upstart není takový problém (a zbytek je minorita), stejně jako mít připravené řešení pro všechny tři. Pro naprostou jistotu (a pokud mi stačí spouštět škodlivý kód jako uživatel) mohu ješté použít /etc/profile.d/ a xinitrc.

Samotná aplikace napadající cílový stroj může být psaná v bashi, nebo staticky linkovaná binárka (podle náročnosti potřebné úlohy)

Vynechal jsem ve své neznalosti něco?

[Pavel 'TIGER' Růžička]

Je to to samé, jako kdyby dotaz zněl, jestli je možné napadnout windows z linuxu ... možné to je, leč přímý útok je přímý útok. Třeba u androidu se vyplácí obě varianty a to jak přes Windows, tak i přímo přes datové spojení. Ztráty (resp. zisky) jsou obrovské. Inu lidská blbost je lidská blbost.

[pedro]

Souhlasím. Takové řešení by dávalo smysl jedině, pokud by cílový systém nebylo možné napadnout přímo.

[lertimir]

Mnohem více mi připadá, že napadnout linuxovou instalaci takto nepřimo je mnohem jednodušší než přímý útok. Ten ext fs když se k němu přistupuje z win, nemá žádnou ochranu přístupových práv na rozdíl od toho, když na něj útočím přímo, musím práva vyeskalovat v linuxu. Normální uživatel v linuxu nic nestahuje mimo repozitáře takže dostat k němu kód je těžší. Jedna z mála možností je díra v programu. Linuxový systém je často aktuálnější, protože běžný uživatel zapne automatické aktualizace a z repozitáře a aktuální stav. naproti tomu win aktualizace mu sice zaktualizzují vlastní systém, ale jeho aplikace už ne a hlavně uživatel pouští neověřený kód.

Velké botnetí aféry jako zeus botnet, Cryptolocker, Synolocker a další ukázaly, že ty útočné software mohou být dost mamutí. Není to pár bytů(kb) jako v době MBR virů. Klidně si dokážu představit, že by bylo možné ten útok udělat modulárně. Zjistím z win virem, že mám nějaké nespecifikovaně oddíly, stáhnu si driver na ext a zkusím jestli je přečtu, když ano zapišu tam virus a spouštěcí přikaz (a když nemáš rc.local - tak třeba máš systemd tak to strčíš do jeho spouštěcích skriptů).

[Pavel 'TIGER' Růžička]

Ono záleží na tom, čeho člověk chce útokem dosáhnout. Většinou jde jen o získání dat, které jsou v profilu a k tomu není třeba ovládat celý stroj. Ano, pokud půjde o ovládnutí stroje a zařazení do nějaké bot sítě, tak je to podstatně těžší úkol.Ovšem taky není nerealizovatelný. U distribuce typu ubuntu, která se snaží být na principu nainstaluj a funguj to bude mnohem snažší, než když se instalátor ptá na různé nastavení prostředí. Tam už vzniká několik variant.

[Václav "Darm" Novák]

Ještě bych dodal že narozdíl od přímého útoku na Linux se zde útočník může spolehnout na homogenní prostředí.

[Jendа]

Spustil jsem Windows XP, nainstaloval Ext2Fsd, namountoval ext3 partition s Linuxem, otevřel v Notepadu shell skript, změnil v něm příkaz na svůj, uložil, odmountoval, vypnul, spustil Linux, vykonal se můj příkaz. Žádného složitého technického problému jsem si nevšiml.

[Václav "Darm" Novák]

A teď stačí aby ten skript spustil existující malware. Naprosto srovnatelně komplikovaný a teoretický problém se zničením vesmíru :D

[Václav "Darm" Novák]

Neumím, nikdy jsem nepsal malware. Ale vím toho dostatek na to abych věděl, že pro autora malware by to byl v případě potřeby naprosto triviální úkon (předpokládám tvůrce který již má kód, který dovede infikovat windows a získat administrátorská práva. Myslím že se nemusíme přít o tom, že takových je dost.) Ale ty zjevně znáš technické problémy o kterých nevím, podělíš se?