Kaspersky Lab varuje před zranitelnostmi v USB tokenech
Odborníci Kaspersky Lab našli řadu vážných zranitelností v systému správy licencí hardwarových zařízení HASP (Hardware Against Software Piracy). Ty se běžně používají ke spuštění licencovaného softwaru ve firemních a ICS sítích. Nově objevená zranitelná technologie doposud negativně ovlivnila chod jen několika společností, potenciálně jsou ale ohroženy stovky tisíc firem po celém světě.
Tyto USB-tokeny běžně používá řada organizací, kterým slouží pro spuštění softwarových licencí. Firemní administrátoři je využívají k aktivaci licencovaného softwaru na firemních počítačích. USB token po vložení do počítače potvrdí, že se jedná o licencovaný software. Po takovém ověření může uživatel daný software na počítači nebo serveru začít používat.
Po prvním vložení tokenu do počítače nebo serveru stáhne operační systém Windows softwarové ovladače ze serverů dodavatele. Tím zajistí, že hardwary tokenu a počítače budou spolupracovat. Jindy se ovladač nainstaluje spolu se softwarem třetí strany, který používá výše zmíněny systém ochrany licencí. Kaspersky Lab zjistilo, že po své instalaci tento software zařadí počítačový port 1947 do seznamu výjimek windowsového firewallu. Tím počítač vystavuje zvýšenému riziku vzdáleného útoku. Uživatele přitom na tuto akci nijak neupozorní.
Útočníkům v takovém případě stačí pouze provést sken dané sítě a najít otevřený port 1947. Ten jim umožní získat vzdálenou kontrolu nad infikovaným počítačem.Port navíc zůstává dostupný i po odpojení tokenu. Proto i v zabezpečeném a pravidelně aktualizovaném firemním prostředí útočníkům stačí pouze jednou nainstalovat software za pomoci HASP řešení nebo připojení tokenu, aby mohli následně provést vzdálený útok.
Celkově odborníci identifikovali 14 zranitelností v softwarové části řešení, včetně řady DoS zranitelností a RCEs (remote execution of arbitrary code). Po odhalení těchto zranitelností nahlásila Kaspersky Lab veškeré informace dodavatelům softwaru, kterých se problém týká. Ti následně vydali bezpečnostní záplaty.
Zdroj: Kaspersky Lab