Equation APT #Kaspersky #NSA

1) Notícia em português: http://g1.globo.com/tecnologia/noticia/2015/02/supervirus-equation-e-capaz-de-infectar-hardware-do-disco-rigido.html

"A fabricante de antivírus russa Kaspersky Lab divulgou detalhes técnicos de uma série de ataques batizada pela empresa de "Equation". Especialistas da companhia chamaram os códigos usados pelos ataques de "a Estrela da Morte da galáxia dos malwares", em referência à arma da série "Guerra nas estrelas" capaz de destruir planetas.

As informações foram publicadas nesta segunda-feira (16), junto de uma palestra sobre os ataques apresentada no Security Analyst Summit (SAS), um evento promovido pela Kaspersky Lab que ocorre em Cancun, no México.

O Equation engloba uma série de programas de espionagem usados para roubar informações de instituições financeiras, governamentais e militares, além de atacar organizações de setores como comunicação, pesquisa nuclear, nanotecnologia e empresas de segurança envolvidas no desenvolvimento de criptografia.

Os códigos foram usados apenas contra alvos específicos de espionagem. Os países mais atacados são o Irã, a Rússia e o Paquistão, o Afeganistão, a Índia, a China, a Síria e Mali. No Brasil, uma organização do setor de aeronáutica teria sido invadida pelos espiões. A Kaspersky Lab estima que há pelo menos 500 vítimas do Equation no mundo.

Um dos componentes das pragas do grupo, chamado de "nls_933w.dll", é capaz de reprogramar o firmware de discos rígidos. O firmware é o software que controla a operação básica do disco, o que significa que o vírus infecta o próprio disco rígido, não apenas os dados nele armazenados. O firmware também controla sua própria memória, por isso o único meio garantido de remover o vírus é retirando e reprogramando fisicamente o chip do disco, o que nem sempre é possível sem danificar o hardware.

Ataques contra hardware são dificultados pelas diferenças entre fabricantes, mas isso não impediu os programadores do Equation. O "nls_933w.dll" consegue funcionar em equipamentos de mais de uma dúzia" de marcas, incluindo Seagate, Western Digital, Samsung, Toshiba, Maxtor e IBM. Apesar de a função estar presente, ela foi raramente usada, segundo a Kaspersky Lab.

Nos casos em que o disco rígido foi alterado, o vírus ganhou acesso a compartimentos de armazenamento "secretos" que não são removidos pela formatação, garantindo a permanência do código espião no sistema infectado."

(...)

2) O setor aeroespacial brasileiro  - a confirmar - foi uma das vítimas conhecidas. Trata-se da principal "suite" de ataque da NSA, capaz - entre outras coisas - de infectar firmware de dezenas de fabricantes de HD, inclusive, para sobrevive a formatações..

3) Blog Post inicial da Kaspersky - sobre o tema: http://securelist.com/blog/research/68750/equation-the-death-star-of-malware-galaxy/

4) Report Técnico (incluindo os IoCs - indicators of compromise) da Kaspersky: https://securelist.com/files/2015/02/Equation_group_questions_and_answers.pdf

5) Outras assinaturas Yara relacionadas a campanha: http://pastebin.com/P0Fb9DPb - não divulgados pelas Kaspersky

6) Samples (espécimes para análise): Cuidado! https://www.dropbox.com/s/latggdox9s3xv4t/Equation_x86_x64.zip?dl=0 - não divulgados pelas Kaspersky

7) Alguns exploits utilizados pelo "Equation" foram também usados pelo Stuxnet depois (ao menos 4 "0days" na lista): 

• Windows Kernel EoP exploit used in Stuxnet 2009 (atempsvc.ocx) fixed with MS09-025. (CVE unknown).
• TTF exploit fixed with MS12-034 (possibly CVE-2012-0159).
• TTF exploit fixed with MS13-081 (possibly CVE-2013-3894).
• LNK vulnerability as used by Stuxnet. (CVE-2010-2568).
• CVE-2013-3918 (Internet Explorer).
• CVE-2012-1723 (Java).
• CVE-2012-4681 (Java).

8) O ponto mais crítico / novo / interessante do relatório está na descrição módulo de persistência em firmwares de mais de uma dezena de fabricantes de HD. O conhecimento do código fonte destes firmwares pelo governo americano facilita este tipo de funcionalidade. Isto se dá possivelmente se a requerimentos como os previstos no NIST FIPS 140 Cryptographic Module Validation Program (CMVP)." (veja o slide 20) "source review" - além de outras possíveis alternativas - mais intrusivas. 

Descrição deste módulo:

"The plugin supports two main functions: reprogramming the HDD firmware with a custom payload from the EQUATION group, and providing an API into a set of hidden sectors (or data storage) of the hard drive"

(...)

"The main function to reflash the HDD firmware receives an external payload, which can be compressed by LZMA. The disk is targeted by a specific serial number and reprogrammed by a series of ATA commands. For example, in the case of Seagate drives, we see a chain of commands: “FLUSH CACHE” (E7) → “DOWNLOAD MICROCODE” (92) → “IDENTIFY DEVICE” (EC) → WRITE “LOG EXT” (3F). Depending on the reflashing request, there might be some unclear data manipulations written to the drive using “WRITE LOG EXT” (3F). For WD drives, there is a sub-routine searching for ARM NOP opcodes in read data, and then used further in following writes. Overall, the plugin uses a lot of undocumented, vendor-specific ATA commands, for the drives mentioned above as well as all the others"

Lista de Dispositivos suportados:

• “WDC WD”, <Western Digital Technologies Inc> additional vendor specific checks used
• “ST”, “Maxtor STM”, “SEAGATE ST”, <Seagate Technology>
• “SAMSUNG”, <SAMSUNG ELECTRONICS CO., LTD.>
• “WDC WD”, <Western Digital Technologies, Inc.> additional vendor specific checks used
• <HGST a Western Digital Company>, “IC”, “IBM”, “Hitachi”, “HTS”, “HTE”,“HDS”, “HDT”, “ExcelStor”
• “Max”, “Maxtor STM”
• <MICRON TECHNOLOGY, INC.>, “C300”, “M4”
• <HGST a Western Digital Company>, <TOSHIBA CORPORATION>
• “OCZ”, “OWC”, “Corsair”, “Mushkin” additional vendor specific checks used
• <Samsung Electronics Co., Ltd., Storage System Division>, <SeagateTechnology>, <SAMSUNG ELECTRONICS CO., LTD.> +additional checks
• <TOSHIBA CORPORATION COMPUTER DIVISION>, “TOSHIBA M” +checks
• <Seagate Technology>, “ST”

9) Mapa da vítimas identificadas:

10) Número de vítimas: cerca de 2000 por mês (estimativa baseada em um contador encontrado pela Kaspersky em uma das campanhas do "Equation").

Mais informações:

• Ars Technica: http://arstechnica.com/security/2015/02/how-omnipotent-hackers-tied-to-the-nsa-hid-for-14-years-and-were-found-at-last/
• Bruce Schneier: https://www.schneier.com/blog/archives/2015/02/the_equation_gr.html
• An analysis of reported Equation Group IP ranges and domains: http://blog.dynamoo.com/2015/02/an-analysis-of-reported-equation-group.html
• Surprise! America Already Has a Manhattan Project for Developing Cyber Attacks: http://www.wired.com/2015/02/americas-cyber-espionage-project-isnt-defense-waging-war/

Firmware de Discos de Estado Sólido destrói evidências digitais

Um paper publicado pelos australianos Graeme B. Bell e Richard Boddington no "Journal of Digital Forensics, Security and Law", entitulado "Solid State Drives: The Beginning of the End for Current Practice in Digital Forensic Recovery?" está trazendo mais luz para a necessidade de atualizar a tecnologia (e os procedimentos) no que diz respeito a análise de discos SSD.

Os autores citam a mudança de paradigma necessária na área de Forense Computacional, diante das mudanças introduzidas por versões modernas de Discos de Estado Sólido (SSD) - alguns aspectos que são impactados são os processos de aquisição e verificação de integridade, e a recuperação de dados deletados.

O problema: os firmwares de discos SSD tem a capacidade de destruir evidência sem nenhuma instrução ou interferência do computador a que estão conectados. Mesmo utilizando bloqueadores de escrita que impedem a alteração de dados em discos rígidos tradicionais, os pesquisadores constataram que em poucos minutos o firmware de certos discos de estado sólido já altera o conteúdo (do espaço "não alocado" gravado nele).

O maior impacto desta realidade: A probabilidade de alteração dos dados originais de forma repentina - mesmo quando as melhores práticas para obtenção de evidências é aplicada - pode tornar a prova inadmissível durante o processo - considerando as melhores práticas atuais (os hashes do disco original e da imagem não irão bater).

O culpado: um algorítimo 'garbage collector' do firmware do disco SSD que por motivios de performance procura resetar os blocos que não estão em uso. Isto pode interferir no estado dos dados poucos minutos depois de ser ligado para análise, ou até mesmo durante uma duplicação forense. Os resultados apresentados interferem também na interpretação de que se o dado não existe na "superfície" do disco, é porque ele nunca esteve lá.

Na conferência Usenix deste ano, pesquisadores da Universidade da Califórnia já tinham apresentado achados interessantes a respeito da ineficiente dos métodos tradicionais de wipe para discos SSD: Reliably Erasing Data From Flash-Based Solid State Drives

Será interessante acompanhar a evolução destas descobertas. Enquanto isto, as recomendações feitas pelos autores australianos no paper não são muito animadoras.

Possivelmente novas práticas e metodologias irão surgir para validar o máximo possível de informações retiradas deste tipo de dispositivos - mas enquanto não surgem, informemo-nos:

1. Solid-state drives of all types and data stored on such drives should be immediately and henceforth considered to be a 'grey area' as far as forensic recovery and legal validation are concerned until extensive studies have been made of drive and data behaviour.

2. Processes that are corrosive/erasive towards data marked for deletion may take place extremely suddenly, extremely quickly and completely automatically without human awareness or control.

3. Present-day evidence indicating 'no data' does not authoritatively prove that data did not exist at the time of capture.

4. Evidence of deleted data being permanently erased or partially corrupted is not evidence of intentional permanent erasure or corruption.

5. Cases where disk image checksums do not match at the end of the process of forensic analysis should be considered carefully to establish if the original or subsequent images could have been taken during or after a garbage collection process.

6. Past metadata and data blocks may be deleted without warning and without the opportunity to realise that they had existed at time of capture.

7. Garbage collection can occur either following file deletion or following (quick/full) formatting of a disk. ‘Quick’ formatting is therefore no longer necessarily distinct from ‘full’ formatting.

8. Formatting of disks is a normal and reasonable activity that an innocent person might choose to do e.g. to improve the performance of an SSD drive, to tidy up the disk etc. yet may completely eradicate evidence from a disk. Such eradication of evidence may occur within minutes.

9. We cannot guarantee previously deleted file data to be preserved on an SSD, regardless of whether the drive image was taken during a 'live' capture of evidence or following a 'dead' capture of evidence.

10. Drives can clearly self-modify their data after physical evidence has been gathered, despite best practice efforts by forensic analysts to prevent such behaviour using traditionally effective means such as write-blockers.

11. A software or hardware-based write-blocker does not protect against the drive's internal firmware choosing to wipe data from the drive.

12. The speed at which corrosion of digital evidence takes place should be expected to increase even further as garbage collection algorithms become more aggressive in cleaning up, and drives become faster, and more powerful controller chips become available.

13. We feel it would be an unwise investment of time for analysts to try to develop workaround procedures that operate against the drive controller behaviour specifically identified in these experiments. It will not be useful; even now, a new firmware has been released for the drive, and newer models are on the market, whose behaviour cannot be known a priori. SSDs are an exceptionally fast-moving target.

14. We think it would be an unwise investment of time to develop procedures for physical asset capture whereby operators attempt to distinguish SSDs from HDDs. This process is difficult due to the similar physical appearance of the drives and the need to gain access to the computer's internals. Also, each SSD might require unique and perhaps complex treatment to try to prevent the operation of garbage collection. Furthermore, it is futile - the present-day development of hybrid disks that incorporate both HDD and SSD technologies is likely to frustrate completely any effort to distinguish SSDs from HDDs at time of capture.

15. We think it would be unwise to assume that irreversible file erasure suggests intent to destroy evidence in cases where a defendant has quick-formatted a drive prior to police seizure. There are reasonable circumstances (viruses, slow performance, upgrading) that might cause normal and innocent people to quick format their drive without realising that garbage collection would cause the appearance of ‘secure deletion’.

16. Breaking open the drive casing to try and disable/remove the drive controller and prevent a garbage collector from running would probably be a very significant technical challenge, given the extent to which the drive controller is bound to the data via the flash translation layer, and given the wide diversity of drives, controllers and memory that exist.

17. Running a live analysis might allow a running garbage collector to delete data unhindered; running a dead analysis might cause a garbage collector to activate in the forensics lab. There is no simple answer to this problem.

18. It will probably be impossible to legislate against garbage collection.

19. It is possible that the issues found in this paper will later come to affect USB flash drives as well; having invested in technology that makes NAND flash systems run much faster, it would be very peculiar if manufacturers failed to adopt it across their product range. The increasing availability of high-speed interfaces for portable media such as USB3 makes it likely that we will see more of these complex, evidence-corroding drive controllers in portable USB drives in future.

20. The natural state of digital storage is not to ‘preserve deleted data’ as magnetic drives have done for the past few decades. Future physical storage technologies can be expected to purge deleted files to improve read and write speeds, if technology allows such a purge to be performed quickly.

21. It seems very unlikely that international manufacturers can be collectively persuaded to provide a universal mechanism to disable garbage collection; if anything, garbage collection is likely to become even more aggressive. Perhaps the genie is already out of the bottle?

Links para este e outros 9 periódicos estão listados em: http://sseguranca.blogspot.com/2010/10/9-periodicos-de-computacao-forense.html

Mais informações:

• http://news.techworld.com/security/3263093/ssd-fimware-destroys-digital-evidence-researchers-find

• http://www.csoonline.com/article/670918/ssd-firmware-destroys-digital-evidence-researchers-find?source=rss_news