Dipl.-Inform. Carsten Eilers

SubVirt
ist ein funktionsfähiger Proof of Concept für ein virtualisierendes
Rootkit, von den Entwicklern als “Hypervirus” oder
“Virtual-Machine Based Rootkit” (VMBR) bezeichnet, der im Mai
2006 auf der Konferenz
IEEE Symposium on Security and Privacy
vorgestellt wurde.

Das Rootkit installiert eine virtuelle Maschine und startet darin das
eigentliche Betriebssystem des angegriffenen Rechners. Ein bösartiges
Rootkit dieses Typs könnte dann Schadsoftware in weiteren virtuellen
Maschinen ausführen, ohne dass die (oder das Rootkit selbst) von
herkömmlichen Virenscannern erkannt werden können. Die Forscher
Samuel T. King und Peter M. Chen von der University of Michigan und Yi-Min
Wang, Chad Verbowski, Helen J. Wang und Jacob R. Lorch von Microsoft
Research entwickelten zwei solche Rootkits, mit denen sie sowohl Windows
XP als auch Linux erfolgreich angreifen konnten. Außerdem entwickelten
sie vier Beispiele für von diesen Rootkits eingesetzte Schadsoftware:
Einen Webserver für Phishing-Seiten, einen Keylogger, ein Tool zur
Suche nach interessanten Dateien und ein Tool zum Aushebeln einer
Erkennungsfunktion für virtuelle Maschinen.

Zur Installation von SubVirt benötigt der Angreifer Administrator-
bzw. root-Rechte, die er sich z.B. über eine entsprechende
Schwachstelle oder durch Social Engineering verschaffen kann. Nach der
Installation des Rootkits muss das System neu gestartet werden, damit das
Rootkit aktiv wird. Das startet dann eine virtuelle Maschine und darin das
Betriebssystem des angegriffenen Rechners.

Erkennbar oder nicht erkennbar, …

… das ist hier die Frage. Ziel des Entwurfs war es natürlich,
Möglichkeiten zur Erkennung solcher Angriffe zu entwickeln. Die
besten Chancen bestehen, wenn die Schutz- bzw. Erkennungsfunktionen
unterhalb bzw. außerhalb der virtuellen Maschine des Rootkits aktiv
werden. Das kann z.B. durch sichere Hardware wie z.B. die damals aktuellen
Ansätze zum Trustworthy Computing geschehen, die ein gestartetes
Rootkit erkennen. Auch nach dem Booten von einem sicheren Medium wie
CD-ROM, USB-Stick oder Netzwerk-Bootserver kann das dann nicht laufende
Rootkit erkannt werden. Eine weitere Möglichkeit ist der Einsatz
einer sicheren virtuellen Maschine, die dann die Kontrolle über das
System hat und eine danach gestartete virtuelle Maschine eines Rootkits
erkennen kann.

Software in der virtuellen Maschine des Rootkits kann dieses kaum erkennen.
Einige Anhaltspunkte für die Änderungen gibt es jedoch, z.B. die
unterschiedlichen Geschwindigkeiten bei Zugriffen auf die Hardware: Direkte
Zugriffe sind schneller also die gleichen Zugriffe über die virtuelle
Maschine. Außerdem emulieren die virtuellen Maschinen die CPUs u.U.
nicht perfekt, so dass es Implementierungsunterschiede zwischen emulierter
CPU und echter CPU gibt. Weitere Möglichkeiten bietet der Verbrauch
an Ressourcen wie CPU-Leistung, Hauptspeicher und Festplattenplatz.

Während die Entwickler der Ansicht sind, ein virtualisierendes Rootkit sei
kaum zu entdecken, sind andere der Ansicht, dass sei
leicht möglich.

Blue Pill – Ein PoC ist nicht genug

Wenig später wurde das nächste virtualisierende Rootkit veröffentlicht:
Joanna Rutkowska stellte in ihrem Vortrag
“Subverting Vista Kernel For Fun And Profit”
auf der vom 29. Juli bis 3. August stattfindenden Sicherheitskonferenz
Black Hat USA 2006 ihr Rootkit
Blue Pill
vor (Präsentation als
PDF).
Einen ähnlichen Vortrag hatte sie bereits Ende Juli auf der SyScan
Conference gehalten. Blue Bill wurde für Vista x64 entwickelt, könnte aber
auch für Linux oder BSD angepasst werden, aber nur auf der x64-Plattform,
da deren Hardware-Virtualisierung verwendet wird

“Blue Pill” bezieht sich dabei auf die
blaue Pille
in der
Matrix,
die dafür sorgt, dass der Betroffene in der virtuellen Realität
bleibt und diese nicht erkennt. Falls Sie also auf der Suche nach Viagra
auf dieser Seite gelandet sind, können Sie jetzt weiter klicken, z.B.
hier hin.

Blue Pill hat gegenüber SubVirt einen entscheidenden Vorteil: Es ist kein
Neustart notwendig, das Rootkit verschiebt
das laufende System
in die virtuelle Maschine. Außerdem nutzt Blue Pill die
Virtualisierungsfunktionen der Hardware, während SubVirt auf die
(kommerziellen) Softwarelösungen VMware und Virtual PC
zurückgreift. Dadurch greift das in die virtuelle Maschine
verschobene System weiterhin auf die Hardware zu, während Blue Pill
als superdünner Hypervisor zwischen Hardware und System sitzt und auf
interessante Aktionen wartet. Die können dann protokolliert oder
manipuliert werden.

Blue Pill installiert sich nicht auf der Festplatte, sondern bleibt nur bis
zum nächste Reboot im Speicher erhalten. Das ist aber kein Problem,
denn bei einem Neustart des Systems simuliert Blue Pill diesen nur. Und
selbst wenn ein Reboot gelingt, ist der Schaden meist bereits eingetreten
und das Rootkit hat sein Ziel erreicht und z.B. Zugangsdaten
ausgespäht, über die das Rootkit später erneut installiert
werden kann.

Schon kurz nach der Veröffentlichung von Blue Pill gab es Streit darüber,
ob das Rootkit wirklich so unerkennbar ist wie behauptet. So bestritt z.B.
Anthony Liguori,
einer der Entwickler des Xen Hypervisor, dass Blue Pill wie von Joanna
Rutkowska behauptet “100% undetectable malware” sei.
George Ou
erklärte, dass das Erkennen von Blue Bill zwar möglich, aber nicht trivial
ist.

Blue Pill, the next Generation

Auf der Konferenz Black Hat USA 2007 stellte Joanna Rutkowska,
zusammen mit Alexander Tereshkin eine
neue Version
von Blue Pill vor, genannt “New Blue Pill” (Präsentation als
PDF).

Und wieder gab es Streit darüber, ob so ein Rootkit erkannt werden
kann oder nicht. Thomas Ptacek von Matasano Security, Nate Lawson von Root
Labs und Peter Ferrie von Symantec behaupteten, dass sich virtuelle
Rootkits noch leichter erkennen lassen als normale. Sie haben daher Joanna
Rutkowska
herausgefordert
(die eigentliche Herausforderung sowie die Reaktionen von Thomas Ptacek
auf Joanna Rutkowskas Antwort sind leider nach einer
Störung
im Blog von Matasano nicht mehr online):
Sie wollten auf einer der nächsten Black Hat Konferenzen zwei
identische Laptops bereitstellen, von denen einer mit dem Rootkit infiziert
werden sollte. Ein Testprogramm sollte dann den infizierten Rechner
identifizieren.

Joanna Rutkowska hat daraufhin einige eigene
Bedingungen
gestellt, unter denen sie zu einem derartigen Test bereit wäre: Es
sollen fünf Laptops bereit gestellt werden, um ein zufälliges
erfolgreiches Raten von einer 50-prozentigen Chance auf unter 3 Prozent zu
drücken. Das Testprogramm darf die Rechner weder zum Absturz bringen
noch anhalten oder länger als eine Sekunde die gesamte CPU-Leistung
belegen, da ein auf einem normalen System laufendes Schutzprogramm das
System ebenfalls nicht lahmlegen darf. Sowohl Erkennungsprogramm als auch
Rootkit werden nach dem Test als Open Source veröffentlicht. Soweit
waren alle Forderungen für Ptacek, Lawson und Ferrie noch
akzeptabel.
Gescheitert ist der Test an Joanna Rutkowskas letzter Forderung: Da Blue
Pill noch nicht fertig entwickelt war, sondern sich noch im
Prototyp-Stadium befand, wollte sie für die Entwicklung bezahlt
werden. Sie rechnete mit sechs Monaten Vollzeit-Entwicklung für zwei
Personen und wollte einen Stundensatz von 200 Dollar pro Person haben. Da
sich niemand fand, der die Entwicklung bezahlt, ist es nie zu dem Test
gekommen.

In der
nächsten Folge
gibt es weitere Informationen zu virtualisierenden Rootkits sowie zu SMM-Rootkits

Carsten Eilers

Übersicht über alle Artikel zum Thema

Angst einflößende Schadsoftware: Scareware

Ransomware: Geld her, oder die Daten sind weg

Spyware – Der Spion in Ihrem Computer

Viren – Infektiöse Schadsoftware mit langer Ahnenreihe

Würmer – Schadsoftware, die sich selbst verbreitet

Trojaner – Der Feind im harmlosen Programm

Zeus – Trojaner, Botnet, Schädlingsbaukasten, …

Exploit-Kits – Die Grundlage für Drive-by-Infektionen

Rootkits

Rootkits – Schadsoftware im System

Rootkits gegen Festplattenverschlüsselung und für BSoD

TDL4 – Gefährliches Botnet oder nur eine neue Sau im digitalen Dorf?

SubVirt und Blue Pill – Rootkits mit Virtualisierung

Rootkits für Xen und SMM

Rootkits (fast) in der Hardware

Rootkits für Smartphones und Mac OS X

Remote Administration Toolkits – Fernwartung in der Grauzone

Botnets – Zombie-Plagen im Internet

Schadsoftware – Infektionen verhindern

Schadsoftware im Überblick