Сценарио напада за обрађивач деинсталираних апликација у Убунту-у

Истраживачи из Акуа Сецурити-а скренули су пажњу на могућност напада на кориснике Убунту дистрибутивног комплета, користећи карактеристике имплементације руковаоца „команда-није пронађена”, који даје наговештај да ли се покуша покренути програм који је не у систему. Проблем је у томе што приликом процене команди за покретање које нису присутне у систему, „цомманд-нот-фоунд“ користи не само пакете из стандардних спремишта, већ и снап пакете из директоријума снапцрафт.ио када бира препоруке.

Када генеришете препоруку на основу садржаја директоријума снапцрафт.ио, руковалац „команда-није пронађена“ не узима у обзир статус пакета и покрива само пакете које су у директоријум додали непоуздани корисници. Дакле, нападач може у снапцрафт.ио да постави пакет са скривеним злонамерним садржајем и именом које се преклапа са постојећим ДЕБ пакетима, програмима који нису првобитно били у спремишту или фиктивним апликацијама чија имена одражавају типичне грешке у куцању и грешке корисника приликом куцања имена популарних комуналних услуга.

На пример, можете да поставите пакете „трацерт“ и „тцпдамп“ са очекивањем да ће корисник погрешити приликом куцања имена услужних програма „трацероуте“ и „тцпдумп“, а „цомманд-нот-фоунд“ ће препоручити инсталирање злонамерних пакета које је нападач поставио са снапцрафт.ио. Корисник можда неће приметити кваку и помислити да систем препоручује само проверене пакете. Нападач такође може да постави пакет у снапцрафт.ио чије се име преклапа са постојећим деб пакетима, у ком случају ће „цомманд-нот-фоунд“ дати две препоруке за инсталирање деб и снап, а корисник може да изабере снап, сматрајући га безбеднијим или искушани новијом верзијом.

Снап апликације које снапцрафт.ио дозвољава аутоматски преглед могу да раде само у изолованом окружењу (неизоловани снимци се објављују само након ручног прегледа). Може бити довољно да нападач изврши у изолованом окружењу са приступом мрежи, на пример, да рудари криптовалуте, изврши ДДоС нападе или пошаље нежељену пошту.

Нападач такође може да користи технике заобилажења изолације у злонамерним пакетима, као што је искоришћавање незакрпљених рањивости у кернелу и изолационим механизмима, коришћење интерфејса за брзи приступ за приступ спољним ресурсима (за скривено аудио и видео снимање) или снимање уноса са тастатуре када се користи Кс11 протокол ( за креирање кејлогера који раде у сандбок окружењу).

Извор: опеннет.ру