Sie sind nicht angemeldet.

  • »GrandAdmiralThrawn« ist der Autor dieses Themas

Beiträge: 14 167

Wohnort: A-8600, Bruck an der Mur, ÖSTERREICH

Beruf: UNIX Administrator

  • Nachricht senden

1

Donnerstag, 11. Mai 2017, 13:35

Schwere Sicherheitslücke in Conexants Mikrofontreiber, HP Business Books betroffen!

Kurzfassung: Auf den Teilen läuft - wenn Windows und der Conexant Mikrofontreiber installiert sind - ein Keylogger, der in alten Versionen auf die Debug API und in neueren Versionen in C:\Users\Public\MicTray.log logged, und zwar alles. Die Debugkonsole ist von jedem Prozeß des Nutzers auslesbar, die Datei sogar von allen Nutzern eines Systems.

Aufgabe des Treibers bzw. dessen Userspacekomponente ist es eigentlich nur, auf Mic on/off Keypresses zu lauschen. Obwohl die Sache an HP und Conexant unter Verschluß gemeldet wurde, gab es keine Reaktion, womit die Lücke nun [öffentlich] ist!

Vorgehen:
  1. Taskmanager starten, Prozeß MicTray64.exe töten!
  2. Datei C:\Windows\system32\MicTray64.exe verschieben oder löschen!
  3. Datei C:\Users\Public\MicTray.log bzw C:\Benutzer\Öffentlich\MicTray.log verschieben oder löschen!
  4. Ggf. Maschine neustarten, um die Debug API zu resetten und um zu verifizieren, daß MicTray64.exe auch wirklich nicht mehr gestartet wird!

Auswirkungen:
  • Der Keylogger ist in jedem Fall deaktiviert.
  • Die Fn Mikrofon-Hotkeys funktionieren jetzt nicht mehr.

Dachte mir ich poste das hier rein, weil's ja einige Leute hier gibt, die Infrastrukturen mit HP Hardware und Windows betreuen.

Edit: Kann natürlich gut sein, daß es andere Maschinen mit Conexant Mikrofonen auch betrifft, also von Fall zu Fall prüfen.. Ich weiß nicht, ob das wirklich HP-spezifisch ist.

Stolzer Besitzer eines 3dfx Voodoo5 6000 AGP Prototypen:
  • 3dfx Voodoo5 6000 AGP HiNT Rev.A-3700 (defekt)
[http://wp.xin.at] - No RISC, no fun!

QotY: Girls Love, BEST Love; 2018 - Lo and behold, for it is the third Coming; The third great Year of Yuri, citric as it may be!

Dieser Beitrag wurde bereits 2 mal editiert, zuletzt von »GrandAdmiralThrawn« (11. Mai 2017, 20:08)


2

Donnerstag, 11. Mai 2017, 15:29

Starkes Stück. "Extrem" finde ich übertrieben, die Experten stufen es ja auch "nur" als High/medium ein.
Extrem war das, was da gerade mit dem Windows Defender passiert war, da es von außen ohne Mitwirkung des lokalen Nutzers ausnutzbar war: https://www.heise.de/security/meldung/Dr…en-3706615.html

Bei der HP-Lücke ist ja im Grunde nur ein Impact, wenn etwas/jemand auf diese Datei lesend zugreift - das heisst wenn Dein System eh schon kompromittiert ist. Und wenn das der Fall ist, kann auch einfach ein eigener Keylogger installiert werden.

Anyway, danke für die Info! Habe mal bei meiner Lenovo-Kiste geschaut, da gibt es die Datei nicht. (Anderer sound-chipsatz).
We are Microsoft of Borg. Assimilation is imminent. Resistance is... Error in Borg.dll. Press OK to abort.

  • »GrandAdmiralThrawn« ist der Autor dieses Themas

Beiträge: 14 167

Wohnort: A-8600, Bruck an der Mur, ÖSTERREICH

Beruf: UNIX Administrator

  • Nachricht senden

3

Donnerstag, 11. Mai 2017, 16:09

Keylogger

Das betrifft nicht nur kompromittierte Maschinen bitte! Auf diese Daten kann jeder Benutzer zugreifen, da braucht man noch nicht Mal von einer echten Malware ausgehen, jedes Multiusersystem mit dem Treiber ist betroffen.

Alle Keypresses ungefiltert in die Debug API oder in eine global lesbare Datei zu loggen, das halte ich sehr wohl für extrem. Alle Passwörter stehn da Mal locker lässig plaintext drin... Das is bitte Critical auf einem Multiuser OS.

Stolzer Besitzer eines 3dfx Voodoo5 6000 AGP Prototypen:
  • 3dfx Voodoo5 6000 AGP HiNT Rev.A-3700 (defekt)
[http://wp.xin.at] - No RISC, no fun!

QotY: Girls Love, BEST Love; 2018 - Lo and behold, for it is the third Coming; The third great Year of Yuri, citric as it may be!

4

Donnerstag, 11. Mai 2017, 16:32

Verstehe ich, ist für mich trotzdem nicht "extrem". Sobald ich jemandem, dem ich nicht traue, Zugriff auf meine Maschine gebe, sehe ich das System als kompomittiert an.
Ja, die Lücke ist schlimm. Nein, sie ist nicht extrem. Kein Vergleich zu der beispielhaft erwähnten Defender-Sicherheitslücke, denn:

1. Angriffsvektor VIEL kleiner: Man braucht mindestens logischen Zugriff auf die Maschine (Defender-Lücke: nicht nötig)
2. Auswirkung VIEL kleiner: Man kann nur lesen, nichts manipulieren, es sei denn die Manschine ist eben schon komprommittiert. (Defender-Lücke: Codeausführung mit Systemberechtigung möglich)
3. Verbreitung viel geringer: "Nur" Maschinen mit diesem Chipsatz und Windows sind betroffen (Defender-Lücke: Alle Windows-Maschinen)
We are Microsoft of Borg. Assimilation is imminent. Resistance is... Error in Borg.dll. Press OK to abort.

  • »GrandAdmiralThrawn« ist der Autor dieses Themas

Beiträge: 14 167

Wohnort: A-8600, Bruck an der Mur, ÖSTERREICH

Beruf: UNIX Administrator

  • Nachricht senden

5

Donnerstag, 11. Mai 2017, 16:48

Sec

Ich denke wir definieren das sprachlich anders. ;)

Jeder Keylogger der Plaintext leaked ist für mich extrem, auch wenn nicht remote zugreifbar. Umso mehr, wenn der Zugriff auf den Text ned Mal irgendwelche A/V Heuristiken triggered, weil das völlig legitime Dateizugriffe und API Calls sind.

Das beim Defender bzw. der Microsoft Malware Protection Engine (die ist ja in weit mehr Diensten drin, als nur im Defender!) kann ich gar nicht mehr in ein passendes Adjektiv kleiden, wenn wir die beiden direkt gegenüberstellen. Geht ned mehr, is zu weit auseinander. Nicht nur der Lücke an sich wegen, sondern weil es einfach unfaßbar ist, daß ein Entwickler von Sicherheitssoftware SOWAS baut. So eine Unfähigkeit darf in dem Bereich eigentlich nicht sein.

Stolzer Besitzer eines 3dfx Voodoo5 6000 AGP Prototypen:
  • 3dfx Voodoo5 6000 AGP HiNT Rev.A-3700 (defekt)
[http://wp.xin.at] - No RISC, no fun!

QotY: Girls Love, BEST Love; 2018 - Lo and behold, for it is the third Coming; The third great Year of Yuri, citric as it may be!

6

Donnerstag, 11. Mai 2017, 16:54

Ja, genau. Da sieht man das Problem. Wenn man bei mittleren/schweren Sicherheitslücken schon Superlative verwendet, bleibt für die wirklich schweren eben kein sprachlicher Spielraum mehr. Zweites Problem: Wenn "immer" mit Superlativen agiert wird, wird irgendwann nichts mehr für wichtig genommen...

Du hast Recht mit der unterschiedlichen sprachlichen Definition.
Es gibt nunmal Methoden, Sicherheitslücken zu bewerten. Wahrscheinlichkeit der Ausnutzung, Schwierigkeit, Auswirkung, Verbreitung, ...
Wenn man sich auf soetwas nicht einigt, sind die Wörter wie "extrem", schwer, medium nicht aussagekräftig, weil eben jeder etwas anderes mit dem Wort verbindet. Und diese Definitionen werden von Profis gemacht. Die sind im hiesigen Fall darzu gekommen das als High/Medium einzustufen. ;)
We are Microsoft of Borg. Assimilation is imminent. Resistance is... Error in Borg.dll. Press OK to abort.

  • »GrandAdmiralThrawn« ist der Autor dieses Themas

Beiträge: 14 167

Wohnort: A-8600, Bruck an der Mur, ÖSTERREICH

Beruf: UNIX Administrator

  • Nachricht senden

7

Donnerstag, 11. Mai 2017, 17:38

Wer hat's eigentlich schon rated? Bei der CVE steht noch nichts..

btw. Superlative war's eh keine. ;)

Stolzer Besitzer eines 3dfx Voodoo5 6000 AGP Prototypen:
  • 3dfx Voodoo5 6000 AGP HiNT Rev.A-3700 (defekt)
[http://wp.xin.at] - No RISC, no fun!

QotY: Girls Love, BEST Love; 2018 - Lo and behold, for it is the third Coming; The third great Year of Yuri, citric as it may be!

8

Donnerstag, 11. Mai 2017, 17:42

Wer hat's eigentlich schon rated? Bei der CVE steht noch nichts..

In der von Dir verlinkten Textdatei, Zeile 96.

btw. Superlative war's eh keine. ;)

Touché :spitze:
We are Microsoft of Borg. Assimilation is imminent. Resistance is... Error in Borg.dll. Press OK to abort.

  • »GrandAdmiralThrawn« ist der Autor dieses Themas

Beiträge: 14 167

Wohnort: A-8600, Bruck an der Mur, ÖSTERREICH

Beruf: UNIX Administrator

  • Nachricht senden

9

Donnerstag, 11. Mai 2017, 17:44

Cve-2017-8360

Ajo, die haben's selber rated. Müßte Mal nachschaun wer diese Modzero Leute eigentlich sind. Habe beim Auffliegen dieser Lücke erstmals von denen gehört.

Stolzer Besitzer eines 3dfx Voodoo5 6000 AGP Prototypen:
  • 3dfx Voodoo5 6000 AGP HiNT Rev.A-3700 (defekt)
[http://wp.xin.at] - No RISC, no fun!

QotY: Girls Love, BEST Love; 2018 - Lo and behold, for it is the third Coming; The third great Year of Yuri, citric as it may be!

OutOfRange

Ultra Kill

Beiträge: 4 537

Wohnort: CH:\Äusseres Wasseramt

  • Nachricht senden

10

Donnerstag, 11. Mai 2017, 19:37

Finde ich ebenfalls enorm bedenklich, ich frage mich aber was anderes: Wieso loggt der Treiber überhaupt irgendwas ?
Es ist nicht so, dass man da einfach mal irgend eine Codezeile verhauen hat. Irgendwer hat aus irgend einem Grund eine Routine geschrieben, welche die Datei erzeugt und die Daten aufzeichnet. Das könnte grundlegend noch aus irgend einer Debuggeschichte stammen (ich kenne das selber, dass man teilweise bei Sondertasten oder -zeichen einfach mal loggt und schaut, was das System da zurückwirft), warum das aber einfach so verblieben ist... erstaunlich.
main sys: i7-7700, Z270G Gaming, 32GB, 1080Ti FE, Win10
3dfx sys: PICMG Boser HS6050, PIII 933, 1GB, V3 3000 PCI, AWE64Gold ISA, WinXP SP3 [KLICK]

hutzeputz

VA Clan Enemy Territory

Beiträge: 12 782

Wohnort: Ebersdorf.

Beruf: Tz Ma

  • Nachricht senden

11

Donnerstag, 11. Mai 2017, 19:53

Okay Dankeschön für den Tipp! Da werde ich gleich mal unser Firmennetzwerk danach durchsuchen...
x200-21U

3dfx-voodoo.de

Windows Sever 2008 R2 Standart / 2x AMD Opteron 2419EE 6-Core / 8x 4 GB PC2-6400R ECC REG / MSI K9ND Speedster2

Ut Cache Cleaner 3

  • »GrandAdmiralThrawn« ist der Autor dieses Themas

Beiträge: 14 167

Wohnort: A-8600, Bruck an der Mur, ÖSTERREICH

Beruf: UNIX Administrator

  • Nachricht senden

12

Donnerstag, 11. Mai 2017, 20:08

!

Das is ziemlich sicher eine Debugfunktion. Wenn ich einen Keypress Monitor schreiben würde, würde ich es genau so machen: Die Keypresses in einen stdout/stderr Stream o.ä umleiten. Die haben's halt in die Windows Debug API geschrieben, was ja auch Sinn macht für Windows Entwickler. Die spätere Version, die in ein File schreibt war wohl einfach simpler im Umgang. Die Entdecker der Lücke meinten auch, es gäbe keine Spuren für ein vorsätzlich böswilliges Verhalten des Programms.

Auch klar ist: Debugfunktionen vergißt man gerne Mal zu entfernen, vor allem wenn man ein unterbezahlter Codemonkey ist.

Ich rename Mal den Thread, der Linguistik wegen. ;)

Stolzer Besitzer eines 3dfx Voodoo5 6000 AGP Prototypen:
  • 3dfx Voodoo5 6000 AGP HiNT Rev.A-3700 (defekt)
[http://wp.xin.at] - No RISC, no fun!

QotY: Girls Love, BEST Love; 2018 - Lo and behold, for it is the third Coming; The third great Year of Yuri, citric as it may be!

  • »GrandAdmiralThrawn« ist der Autor dieses Themas

Beiträge: 14 167

Wohnort: A-8600, Bruck an der Mur, ÖSTERREICH

Beruf: UNIX Administrator

  • Nachricht senden

13

Freitag, 12. Mai 2017, 12:06

HP

Statement von HP, fällt ziemlich genau so aus wie erwartet:
  • HP is committed to the security and privacy of its customers and we are aware of the keylogger issue on select HP PCs. HP has no access to customer data as a result of this issue. Our supplier partner developed software to test audio functionality prior to product launch and it should not have been included in the final shipped version. Fixes will be available via HP.com.
  • HP security advisory: will be made available May 12

Stolzer Besitzer eines 3dfx Voodoo5 6000 AGP Prototypen:
  • 3dfx Voodoo5 6000 AGP HiNT Rev.A-3700 (defekt)
[http://wp.xin.at] - No RISC, no fun!

QotY: Girls Love, BEST Love; 2018 - Lo and behold, for it is the third Coming; The third great Year of Yuri, citric as it may be!

14

Freitag, 12. Mai 2017, 12:15

Finde ich ebenfalls enorm bedenklich, ich frage mich aber was anderes: Wieso loggt der Treiber überhaupt irgendwas ?
Es ist nicht so, dass man da einfach mal irgend eine Codezeile verhauen hat. Irgendwer hat aus irgend einem Grund eine Routine geschrieben, welche die Datei erzeugt und die Daten aufzeichnet. Das könnte grundlegend noch aus irgend einer Debuggeschichte stammen (ich kenne das selber, dass man teilweise bei Sondertasten oder -zeichen einfach mal loggt und schaut, was das System da zurückwirft), warum das aber einfach so verblieben ist... erstaunlich.


Deine Vermutung ist wohl richtig. Um die Sondertasten zu prüfen, die Dinge mit dem Audio machen (Lauter, Leiser, Stumm, etc. pp.) wurde alles gesammelt.

  • »GrandAdmiralThrawn« ist der Autor dieses Themas

Beiträge: 14 167

Wohnort: A-8600, Bruck an der Mur, ÖSTERREICH

Beruf: UNIX Administrator

  • Nachricht senden

15

Freitag, 12. Mai 2017, 16:04

HP

So, ein Treiber mit Datum 11.05. ist da, Version bei HP ist 10.0.931.90 Rev.Q. Erstellt kein Logfile, und laut DebugView logged er auch nicht mehr in die Debug API. Heute soll auch eine Version für ältere Books ab 2015 (seit damals liegt die Lücke scheints vor) veröffentlicht werden, ob die schon da ist weiß ich aber grade ned.

Einfach Mal öffentlich machen hilft scheinbar schon ned so wenig, rofl. Noch ned Mal unhöflich warens bei Modzero, haben HP eh lange vorher schon gewarnt.. Najo. Scheinbar wird erst reagiert, wenn der Panikmodus zwangsausgelöst wird. Wenn andere Hersteller dasselbe Problem haben, werden's nach dem Debakel wohl zeitnah nachziehen.

Stolzer Besitzer eines 3dfx Voodoo5 6000 AGP Prototypen:
  • 3dfx Voodoo5 6000 AGP HiNT Rev.A-3700 (defekt)
[http://wp.xin.at] - No RISC, no fun!

QotY: Girls Love, BEST Love; 2018 - Lo and behold, for it is the third Coming; The third great Year of Yuri, citric as it may be!

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »GrandAdmiralThrawn« (12. Mai 2017, 16:06)


16

Freitag, 12. Mai 2017, 17:23

Mir gefällt responsible disclosure auch mehr als full disclosure. Das nur, wenn das Unternehmen bockig wird.

Das mit dem Reagieren ist so eine Sache. Wenn Tavis Ormandy auf Twitter eine Firma antriggert sie mögen sich bitte einmal melden, geht das i.d.R. enorm schnell. Aber den kennt man nun auch.

Voodoo_Freak

Monster Kill

Beiträge: 5 743

Wohnort: Berlin

Beruf: Disponent

  • Nachricht senden

17

Freitag, 12. Mai 2017, 20:28

Hatte davon auch gestern auf CB gelesen. Finde ich schon ziemlich bescheiden, zumal man bei den betroffenen Modellen durchaus davon ausgehen kann, dass da nicht nur WoW Safes auf der HDD lagern.

Seltsam das HP auch so zögerlich reagiert hat. Ist aber wohl gängige Praxis, öffentlich machen hilft da wohl (fast) immer.
Diese ganzen Customtreiber auf verschiedensten Notebooks gefallen mir aber ohnehin nicht. Beim OS-Wechsel hat hier häufig das Problem das man die Treiber relativ aufwendig manuell einbinden muss (so erlebt bei meinem alten Dell). Nunja und wenn dann noch nen Keylogger mit bei ist...
...then we thought...HEY! Let's use it for games!

  • »GrandAdmiralThrawn« ist der Autor dieses Themas

Beiträge: 14 167

Wohnort: A-8600, Bruck an der Mur, ÖSTERREICH

Beruf: UNIX Administrator

  • Nachricht senden

18

Freitag, 12. Mai 2017, 21:49

Infoleaks

Wobei man hier - ausnahmsweise Mal - nicht HP die volle Schuld in die Schuhe schieben kann. Urheber der Lücke war letzten Endes Conexant, und die wurden genauso benachrichtigt, und haben genausowenig (gar nicht?) reagiert. Ich kann natürlich nur haltlos vermuten, aber ich denke Mal daß HP als sehr großer Abnehmer Druck bei Conexant gemacht hat, damit ein Fix daherkommt. Is ja nach wie vor der größte OEM der Welt? Aber das ist wirklich nur Kaffeesudleserei auf meiner Seite.

In jedem Falle stimme ich Chosen da zu; Man sollte der urhebenden Firma zuerst unter Verschluß Bescheid geben, und denen auch hinreichend Zeit lassen, und mit den Leuten ein sinniges Vorgehen vereinbaren. Eine voreilige Veröffentlichung richtet nur mehr Schaden an, weil der Entwickler damit keine Zeit mehr hat, und unter enorm erhöhten Druck gerät. Und die Angriffe kommen dann ganz sicher, wenn da auch nur ein paar Tage verstreichen..

Wenn das nicht geht, hilft nur mehr die Erpressung. Wird kein Zufall sein, daß es nach der Veröffentlichung so verdammt schnell gegangen ist (man bedenke die enorme Response der Onlinepresse!).

Stolzer Besitzer eines 3dfx Voodoo5 6000 AGP Prototypen:
  • 3dfx Voodoo5 6000 AGP HiNT Rev.A-3700 (defekt)
[http://wp.xin.at] - No RISC, no fun!

QotY: Girls Love, BEST Love; 2018 - Lo and behold, for it is the third Coming; The third great Year of Yuri, citric as it may be!