NetCAT una nova tècnica que permet la detecció de pulsacions de tecles en una sessió SSH

netcat

Un grup d'investigadors de la Universitat d'Amsterdam i l'Escola Tècnica Superior Suïssa de Zuric van desenvolupar la tècnica d'atac en xarxa "NetCAT" (Network Cache Attack) que permet utilitzar mètodes d'anàlisi de dades de canals de tercers per determinar de forma remota les tecles que pressiona un usuari mentre treballa en una sessió SSH. El problema només es manifesta en servidors que utilitzen les tecnologies RDMA (accés directe a memòria remota) i DDIO (I / S directa a dades).

Intel creu que l'atac és difícil d'implementar a la Pràctica, ja que requereix l'accés de l'atacant a la xarxa local, a més de que les condicions i l'organització de les comunicacions de l'host utilitzant les tecnologies RDMA i DDIO, que generalment s'utilitzen en xarxes aïllades, per exemple, en les quals operen els clústers.

El mètode utilitzat per a l'atac s'assembla a la vulnerabilitat Throwhammer, Que permet canviar el contingut de bits individuals a la RAM a través de la manipulació de paquets de xarxa en sistemes amb RDMA.

Els investigadors comenten que:

El nou problema és el resultat de minimitzar els retards a l'usar el mecanisme DDIO, que proporciona interacció directa entre la targeta de xarxa i altres dispositius perifèrics amb la memòria cau de l'processador (durant el processament dels paquets de la targeta de xarxa, les dades es s'emmagatzemen en la memòria cau i es recuperen de la memòria cau, sense accedir a la memòria).

Gràcies a DDIO, la memòria cau de l'processador també inclou dades generades durant l'activitat maliciosa de la xarxa.

L'atac NetCAT es basa en el fet que les targetes de xarxa emmagatzemen dades en memòria cau activament, i la velocitat de processament de paquets a les xarxes locals modernes és suficient per influir en l'ompliment de la memòria cau i determinar la presència o absència de dades en la memòria cau mitjançant l'anàlisi dels retards en la transmissió de dades.

Quan s'usen sessions interactives, per exemple a través de SSH, s'envia un paquet de xarxa immediatament després de pressionar una tecla, És a dir, els retards entre paquets es correlacionen amb retards entre les pulsacions de tecles.

Utilitzant mètodes d'anàlisi estadística i tenint en compte que els retards entre pulsacions generalment depenen de la posició d'una tecla en el teclat, és possible amb certa probabilitat recrear la informació d'entrada. Per exemple, la majoria de les persones solen escriure «s» després de «a» molt més ràpid que «g» després de «s».

La informació dipositada a la memòria cau de l'processador també li permet jutjar l'hora exacta dels paquets enviats per la targeta de xarxa a l'processar connexions com SSH.

A l'generar un cert flux de trànsit, un atacant pot determinar quan apareixen noves dades en la memòria cau associada amb una determinada activitat en el sistema.

Per analitzar el contingut de la memòria cau, s'utilitza el mètode Prime + Probe, que consisteix a omplir la memòria cau amb un conjunt de valors de referència i mesurar el temps d'accés a ells a l'omplir per determinar els canvis.

És possible que la tècnica proposta es pugui utilitzar per determinar no només les pulsacions de tecles, sinó també altres tipus de dades confidencials dipositats a la memòria cau de la CPU.

En el nostre atac, vam aprofitar el fet que el servidor d'aplicacions habilitat per DDIO té un recurs compartit (la memòria cau d'últim nivell) entre els nuclis de la CPU i la targeta de xarxa. Realitzem enginyeria inversa de les propietats importants de DDIO per comprendre com es comparteix la memòria cau amb DDIO.

Potencialment, es pot dur a terme un atac quan RDMA està desactivat, però sense RDMA la seva efectivitat es redueix i l'execució és significativament complicada.

També és possible usar DDIO per organitzar un canal de comunicació encobert utilitzat per transferir dades després que un servidor s'ha vist compromès, sense passar pels sistemes de seguretat.

font: https://www.vusec.net


Sigues el primer a comentar

Deixa el teu comentari

La seva adreça de correu electrònic no es publicarà. Els camps obligatoris estan marcats amb *

*

*

  1. Responsable de les dades: AB Internet Networks 2008 SL
  2. Finalitat de les dades: Controlar l'SPAM, gestió de comentaris.
  3. Legitimació: El teu consentiment
  4. Comunicació de les dades: No es comunicaran les dades a tercers excepte per obligació legal.
  5. Emmagatzematge de les dades: Base de dades allotjada en Occentus Networks (UE)
  6. Drets: En qualsevol moment pots limitar, recuperar i esborrar la teva informació.