Informacyjny ruch Wi-Fi może być używany jako ukryty kanał komunikacji dla złośliwego oprogramowania

Badacz bezpieczeństwa opracował narzędzie demonstrujące, w jaki sposób nieuwierzytelnione pakiety danych w protokole 802.11 bezprzewodowej sieci LAN mogą być używane jako ukryty kanał do kontrolowania złośliwego oprogramowania na zainfekowanym komputerze.

Protokół polega na klientach i punktach dostępu wymieniających pakiety danych informacyjnych przed ich uwierzytelnieniem lub powiązaniem ze sobą, a ten ruch nie jest zwykle monitorowany przez urządzenia bezpieczeństwa sieci. Tom Neaves, konsultant zarządzający w Trustwave, opracował narzędzie do sprawdzania tożsamości o nazwie Smuggler, które wykorzystuje te pakiety, znane jako ramki zarządzania bezprzewodowego, do komunikacji ze złośliwym oprogramowaniem.

Firmy inwestują dużo pieniędzy w systemy wykrywania włamań, zapory ogniowe , systemy zapobiegania utracie danych i inne urządzenia bezpieczeństwa do wykrywania i blokowania podejrzanego ruchu internetowego w swoich sieciach i poza nimi. Dzieje się tak dlatego, że blokowanie szkodliwych programów przed komunikacją z atakującymi jest tak samo ważne, jak zapobieganie infekcjom systemów końcowych, co jest coraz trudniejsze w dzisiejszych czasach ze wszystkimi potencjalnymi wektorami ataku i ludźmi używającymi tych samych urządzeń w domu i praca

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z komputera z Windows]

Dowód koncepcji Neavesa wykorzystuje legalne funkcje protokołu 802.11 w sposób, w jaki nie były przeznaczone do użycia, w szczególności elementy informacyjne w bezprzewodowych ramkach sygnału nawigacyjnego i sondach.

Ramki sygnału nawigacyjnego są specjalnie sformatowanymi pakietami danych, które wysyłają okresowo punkty dostępu bezprzewodowego, aby ogłosić ich obecność i przekazać informacje o sobie klientom słuchającym. Zawierają elementy informacyjne, takie jak identyfikator SSID (identyfikator zestawu usług), który nadaje sieci nazwę publiczną, szybkość transmisji danych obsługiwaną przez sieć i inne parametry - rodzaj metadanych.

Osoba atakująca siedzi w zasięgu komputera Wi-Fi zagrożonego komputera - podobnie jak na parkingu przed biurem - może użyć Smugglera do ustawienia punktu dostępu, który rozgłasza ramkę sygnału nawigacyjnego z pustym identyfikatorem SSID i elementem informacji o stawkach, który faktycznie zawiera polecenie. Karta bezprzewodowa komputera otrzyma ramkę sygnału nawigacyjnego, ale system operacyjny nie wyświetli punktu dostępu na liście dostępnych sieci bezprzewodowych, ponieważ identyfikator SSID jest pusty.

Program złośliwego oprogramowania uruchomiony na komputerze może zostać zaprogramowany do nasłuchiwania sygnału nawigacyjnego ramki z pustymi identyfikatorami SSID, parsuj ich elementy Rate i wykonuj polecenia znalezione w środku. Następnie może użyć karty bezprzewodowej do wysyłania ramek zapytań próbnych, które zawierają osadzone w nich polecenia.

Ramki żądań sond są używane przez klientów bezprzewodowych do żądania informacji z określonych punktów dostępowych lub ze wszystkich znajdujących się w pobliżu punktów dostępu, takich jak podczas aktywne skanowanie sieci bezprzewodowej. Elementy informacji SSID w tych ramkach, które są zwykle używane do wskazania, który punkt dostępu powinien odpowiedzieć, mogą zamiast tego zostać wykorzystane do przekazywania wyników polecenia z powrotem do atakującego, powiedział Neaves w poście na blogu.

Jeśli wynik jest zbyt duży może być rozłożony na wiele ramek zapytań, a program działający na komputerze atakującego może go zrekonstruować.

Narzędzie Przemytnik zawiera komponenty do automatyzacji tego dwukierunkowego procesu komunikacji zarówno po stronie atakującego, jak i po stronie ofiary. Neaves użył go do zaimplementowania interaktywnej powłoki, która pozwoliła mu zdalnie wykonywać polecenia na zainfekowanym komputerze i wyświetlać ich wyniki za pośrednictwem lokalnego okna terminala.

"Nie zamierzam jeszcze ujawniać Smugglera", powiedział. "Celem tego posta jest to, że chciałem podzielić się swoimi odkryciami dotyczącymi nadużywania protokołu w sposób niezgodny z przeznaczeniem i używać go do złych rzeczy, takich jak tworzenie tego ukrytego dwukierunkowego kanału komunikacyjnego bez kojarzenia lub uwierzytelniania. Stworzyłem także program Anti-Smuggler, aby pokazać, że można wykryć takie ataki. "