Yazılar

Sadece JavaScript kullanarak uzaktan donanım hacklemek

sadece-javascript-kullanarak-uzaktan-donanim-hacklemek1 Sadece JavaScript kullanarak uzaktan donanım hacklemekGüvenlik araştırmacıları Rowhammer adındaki açık sayesinde donanım seviyesine inip DRAM’ı exploit edebildiler.

Rowhammer açığı biliniyordu fakat bugüne kadar bu şekilde etkin istismar edilememişti. Açık sayesinde uzaktan sistemde yönetici haklarına sahip olmak mümkün. Açık JavaScript kullanılarak istismar edilebiliyor. Üstelik DRAM’ın exploit edildiği bu açığın uzaktan yazılım ile tetiklenen ilk donanım açığı olduğunu belirtmekte fayda var.

Zayıflık 2009’dan beri üretilen tüm Intel işlemcili sistemlerde bulunuyor ve tamamıyla donanım bazlı bir güvenlik açığı. Kullanıcı bir web sitesinde gezerken uzaktan JavaScript ile exploit edilebiliyor. Internette neredeyse tüm web sitelerinde JavaScript kodları kullanılıyor. Dolayısıyla açıktan tamamıyla korunmak için JavaScript’i kapatmak demek web sitelerini doğru görünteleyememek anlamına geliyor.

İşin bir diğer kötü tarafı ise açıkla ilgili herhangi bir yama olmaması. Teknik olarakta bir yama yayınlanması mümkün gözükmüyor. Açığın yamanması için milyonlarca DRAM çipinin değiştirilmesi gerekiyor ki bu da pratikte mümkün gözükmüyor. Yine de Intel açığın üzerinde etkili olabilecek bir yama için çaba harcıyor. Diğer yandan Apple ve diğer donanım üreticileri BIOS güncellemeleri yayınlayarak Rowhammer saldırılarına karşı olabildiğince önlem sunmaya çalışıyorlar.

Genel olarak bakıldığında çoğu kullanıcı, hatta kurumsal firmalar bile BIOS güncellemelerine gereken önemi vermiyor. Bu da Rowhammer açığının gelecekte çok farklı saldırı vektörleriyle karşımıza çıkacağının habercisi gibi gözüküyor.

PDF dosyası kullanarak farkettirmeden sisteme sızmak

pdf-dosyasi-kullanarak-farkettirmeden-sisteme-sizmak PDF dosyası kullanarak farkettirmeden sisteme sızmakGeçerli, okunabilir bir PDF dosyası içerisinde siyah beyaz JPEG dosyası kullanarak hedef sisteme sızmak mümkün.

PDF dosyaları ile sisteme sızma tekniği önceden de kullanılıyordu. Fakat bu okunamayan ve geçersiz şekilde oluşturulmuş PDF dosyaları yoluyla yapılıyordu. Antivirus yazılımları ise okunabilir olmayan PDF dosyalarını tespit ederek işaretleyerek karantinaya alabiliyordu.

Şimdi ise durum farklı. Geçerli ve açtığınızda okuyabileceğiniz PDF dosyaları içerisinde hiç hissettirmeden sistemde kod çalıştırılabiliyor. Performansı arttırmak için kullanılan DCTDecode adında bir kütüphane bu zafiyete sebep oluyor. Kullanılan kütüphanenin işlevi JPEG dosyalarının RGB renk yoğunluğunu düşürerek PDF dosyasını okurken sistemi yavaşlatmamak.

Fakat kütüphane aynı şeyi düzgün şekilde siyah beyaz JPEG dosyaları için gerçekleştiremiyor. PDF içindeki siyah beyaz JPEG dosyaları sadece siyah ve beyaz renklerin yoğunluk bilgilerini içeriyor. Araştırmacılar kısa bir scripti encode ederek, siyah beyaz bir JPEG dosyası olarak, en yüksek kaliteyle PDF içerisine yerleştirdi. Bu haliyle PDF dosyasını okuyarak siyah beyaz JPEG’i proses etmeye çalışan DCTDecode yerleştirilen zararlı kodu çalıştırdı.

İşin asıl tehdit kısmı ise bu içerisine zararlı kod yerleştirilmiş PDF dosyalarını Adobe Acrobat Reader’ın açabilmesi. Problemsiz şekilde açılan zararlı kod içeren PDF dosyaları, kurumsal ve kişisel bilgisayarlarda yaygın şekilde kullanılan Adobe Acrobat Reader tarafından okunabiliyor. Dolayısıyla zararlı kod bu yazılımın kullanıldığı sistemlerde sessizce çalıştırılıyor. An itibarı ile Adobe Acrobat Reader 9 versiyonu bu zafiyetten etkileniyor. Diğer versiyonlar için ise bazı küçük değişiklikler yapıldıktan sonra istismar etmek mümkün.