Побег из VM Ware

крис касперски ака мыщъх

Хакер, номер #087, стр. 087-072-2

виртуальная сеть

Практически все эмуляторы поддерживают виртуальную сеть, связывающую гостевую (guest) и основною (host) системы невидимым кабелем. В эмуляторах типа QEMU она поднимается сразу, в VM Ware — только после соответствующей настройки виртуальной машины, но обычно эмулятор конфигурируется с сетью, потому что это самый удобный способ обмена данными. К тому же на базе той же VM Ware можно легко построить honeypot, своеобразный "капкан" для вирусов и червей, заползающих из Интернета. Если основная операционная система доступна по сети и в ней имеются дыры (типа дыр в DCOM RPC или TCPIP.SYS), то ее можно свободно атаковать из-под эмулятора так же, как и по настоящей сети. Разница лишь в том, что большинство персональных брандмауэров не отслеживают локальные подключения и не препятствуют им, то есть эмулятор позволяет хакеру подключаться к тем ресурсам, доступ к которым извне компьютера надежно закрыт! При организации honeypot'ов это очень актуально! Допустим, основная система содержит shared-ресурсы, доступные только изнутри локальной сети, и для удобства не имеющие паролей, тогда виртуальная машина становится своеобразным "мостом" (или, если угодно, proxy-сервером) между хакером/червем и основной системой! Как защититься от этой атаки? Самое простое — снести виртуальную сеть, а весь обмен данными с гостевой системой ввести через дискету/cd-rom. Чтобы не возиться с прожиганием CD-R/RW болванок, можно использовать виртуальные iso-образы, только это все равно не выход! Значит, нужно своевременно устанавить свежие заплатки на основную систему, а также пароли на все shared-ресурсы и удалить с основной машины все службы, доступ к которым нежелателен, либо же убедиться, что персональный брандмауэр отслеживает локальные подключения и блокирует их.

общие папки

Эмулятор VM Ware предоставляет еще один способ обмена данных между виртуальной машиной и основной операционной системой — shared folders (общие папки). При настройке гостевой машины администратор открывает доступ к одному или нескольким каталогам основной системы, и виртуальная машина "видит" их в своем сетевом окружении. Механизм общих папок работает в обход виртуальной сети, которая, может быть, вообще не установлена, и в плане защиты очень надежен, однако атаковать его все-таки возможно! Как известно, начиная с Windows 98, "проводник" поддерживает пользовательский стиль папок, управляемый файлом folder.htt. Это обыкновенный http-шаблон, "переваривающий" не только тэги, но и скрипты. Известно множество VBS-вирусов, размножающихся именно этим путем. Что произойдет, если зловредный код, исполняющийся под эмулятором, создаст собственный folder.htt-файл или внедрится в уже существующий? При первом же открытии общей папки Проводником основной системы скрипт, содержащейся в folder.htt, получит управление, запуская вируса в свои владения! И это не единственный путь! Вирус может создать desktop.ini, указав, что папка используется для хранения изображений, тогда при ее открытии Проводник автоматически отображает миниатюры. Известно по меньшей мере три фатальные ошибки Windows, приводящие к возможности передачи управления на машинный код, — в bmp-, jmp- и wmf-файлах. И хотя соответствующие заплатки были выпущены очень давно, множество машин остаются уязвимыми и по сей день. Защититься от атак данного типа очень просто: забейте на Проводник и пользуйтесь только FAR'ом или Total Commander'ом и периодически проверяете общие папки на вшивость (даже если лично вы никогда не пользуетесь Проводником, то это еще не означает, что им не пользуются остальные, и существует вероятность, что общую папку откроет кто-то другой).