- Το Windows GDI συσσωρεύει ευπάθειες στην αποκάλυψη πληροφοριών, την άρνηση υπηρεσίας και την απομακρυσμένη εκτέλεση κώδικα που επηρεάζουν πολλαπλές εκδόσεις των Windows και του Windows Server.
- Πολλά από αυτά τα τρωτά σημεία αξιοποιούνται μέσω αρχείων EMF/WMF ή παραμορφωμένου γραφικού περιεχομένου που επεξεργάζονται τα gdi32.dll και win32k.sys, ικανά να προκαλέσουν BSOD ή διαρροές μνήμης.
- Η Microsoft κυκλοφορεί ενημερώσεις κώδικα σε αθροιστικά πακέτα με αλλαγές σε δυαδικά αρχεία όπως το gdi32.dll και παρέχει hashes και πληροφορίες αρχείου για να επαληθεύσει μια επιτυχημένη εγκατάσταση.
- Ο συνδυασμός ευέλικτης ενημέρωσης κώδικα (agile patching), τμηματοποίησης δικτύου, περιορισμού επικίνδυνων γραφικών μορφών και παρακολούθησης με EDR είναι το κλειδί για τη μείωση του κινδύνου που σχετίζεται με το GDI.
Το Γραφικό Περιβάλλον Χρήστη (GDI) των Windows αποδίδει παράθυρα, κείμενο, εικονίδια και εικόνες εδώ και δεκαετίες χωρίς καν να το συνειδητοποιούν οι περισσότεροι χρήστες. Ωστόσο, αυτό το θεμελιώδες στοιχείο του συστήματος έχει επίσης αποτελέσει πηγή αρκετών σημαντικών τρωτών σημείων ασφαλείας, ορισμένων zero-day exploits και άλλων που έχουν ενσωματωθεί σε μαζικές ενημερώσεις της Microsoft. Όταν το GDI αποτυγχάνει, δεν είναι μόνο μια εφαρμογή που καταρρέει: σε ορισμένες περιπτώσεις, μπορεί να οδηγήσει σε διαρροές δεδομένων, απομακρυσμένη εκτέλεση κώδικα ή μπλε οθόνες θανάτου (BSOD) που προκαλούν διακοπή λειτουργίας ολόκληρου του διακομιστή.
Οι ακόλουθες γραμμές περιγράφουν λεπτομερώς τον τρόπο λειτουργίας του GDI, ποιες συγκεκριμένες ευπάθειες έχουν τεκμηριωθεί τα τελευταία χρόνια (όπως CVE-2017-11816, CVE-2020-1435 ή CVE-2023-36884 ), πώς αξιοποιούνται , ποιος είναι ο πραγματικός αντίκτυπος που έχουν σε οικιακά και εταιρικά περιβάλλοντα και ποια πρακτικά μέτρα μπορούν να εφαρμόσουν οι διαχειριστές και οι επαγγελματίες κυβερνοασφάλειας για να προστατεύσουν τα συστήματα Windows τους, από παλαιότερες εκδόσεις όπως τα Windows Vista SP2 έως σύγχρονες εκδόσεις των Windows 11 και Windows Server.
Τι είναι το GDI των Windows και γιατί είναι τόσο ευαίσθητο από άποψη ασφάλειας;
Το Graphics Device Interface (GDI) είναι το παλαιότερο API των Windows που είναι υπεύθυνο για τη διαχείριση όλων όσων σχετίζονται με την απόδοση γραφικών: από τη σχεδίαση γραμμών και ορθογωνίων έως την εμφάνιση γραμματοσειρών, bitmap και εικόνων στην οθόνη ή σε εκτυπωτές. Οι εφαρμογές καλούν συναρτήσεις από βιβλιοθήκες όπως το gdi32.dll για να δημιουργήσουν περιβάλλοντα συσκευών (HDC), πινέλα, στυλό, περιοχές και άλλα γραφικά αντικείμενα, τα οποία διαχειρίζονται εσωτερικά από δομές δεδομένων που ελέγχονται από τον πυρήνα.
Η αρχιτεκτονική GDI χωρίζεται σε λειτουργία χρήστη και λειτουργία πυρήνα . Στη λειτουργία χρήστη, το αρχείο DLL gdi32.dll και άλλες σχετικές βιβλιοθήκες λαμβάνουν αιτήματα σχεδίασης από εφαρμογές. Αυτές οι κλήσεις διαβιβάζονται στο υποσύστημα παραθύρων των Windows, το οποίο εκτελείται σε λειτουργία πυρήνα μέσω των win32k.sys. Αυτό το τμήμα του πυρήνα είναι αυτό που στην πραγματικότητα χειρίζεται τη μνήμη του συστήματος, επικυρώνει γραφικά αντικείμενα και τα στέλνει στο υλικό. Οποιαδήποτε ανεπαρκής επικύρωση δεικτών, μεγεθών ή ευρετηρίων σε αυτό το σημείο ανοίγει την πόρτα σε καταστροφικά σφάλματα.
Για την παρακολούθηση και την επαναχρησιμοποίηση πόρων, το σύστημα διατηρεί πίνακες αντικειμένων GDI . Κάθε διεργασία έχει τον δικό της πίνακα, αλλά υπάρχει επίσης ένας καθολικός πίνακας για κοινόχρηστα αντικείμενα, κάτι που αυξάνει την πιθανότητα καταστροφής σε περίπτωση υπερχείλισης buffer, συμβάντος double-free ή μη έγκυρης αναφοράς μνήμης. Αυτοί οι τύποι σφαλμάτων μπορούν να οδηγήσουν σε καταστροφή μνήμης πυρήνα, συνθήκες ανταγωνισμού, διακοπές λειτουργίας συστήματος ή ακόμη και αυθαίρετη εκτέλεση κώδικα στο πιο προνομιακό περιβάλλον του συστήματος.
Με την άφιξη πιο σύγχρονων API (GDI+, Direct2D, DirectWrite, ακόμη και DirectComposition), η Microsoft έχει μειώσει τη χρήση του GDI σε νέες εφαρμογές, αλλά το παλαιότερο οικοσύστημα λογισμικού που εξακολουθεί να βασίζεται σε αυτό είναι τεράστιο. Αυτή η κληρονομιά καθιστά το GDI μια πολύ ελκυστική πλατφόρμα επίθεσης για ερευνητές και εισβολείς.
Ιστορικά τρωτά σημεία: από την αποκάλυψη πληροφοριών έως την ημέρα μηδέν
Μεταξύ των παλαιότερων ευπαθειών που συνδέονται με το GDI είναι μια τεκμηριωμένη ευπάθεια αποκάλυψης πληροφοριών, η CVE-2017-11816 . Σε αυτήν την περίπτωση, το πρόβλημα έγκειται στον τρόπο με τον οποίο το GDI χειρίστηκε ορισμένα αντικείμενα στη μνήμη, επιτρέποντας σε έναν κακόβουλο χρήστη να ανακτήσει δεδομένα από το σύστημα-στόχο που δεν θα έπρεπε να είναι προσβάσιμα. Δεν επρόκειτο για εκτέλεση κώδικα, αλλά μάλλον για σοβαρή παραβίαση εμπιστευτικότητας.
Αυτό το θέμα ευπάθειας επηρέασε διάφορες εκδόσεις των Windows και ανάγκασε τη Microsoft να κυκλοφορήσει μια συγκεκριμένη ενημέρωση ασφαλείας. Το ελάττωμα έγκειται στον εσωτερικό χειρισμό των δομών γραφικών, όπου το υποσύστημα δεν κατάφερε να καθαρίσει ή να επικυρώσει σωστά ορισμένες περιοχές μνήμης πριν τις επαναχρησιμοποιήσει, καθιστώντας δυνατή την ανάγνωση υπολειμματικών πληροφοριών που ανήκουν σε άλλες διεργασίες ή στο ίδιο το λειτουργικό σύστημα.
Η επιδιόρθωση έφτασε σε μια ενημέρωση ασφαλείας που συμπεριλήφθηκε στον κανονικό κύκλο "Patch Tuesday" τον Οκτώβριο του 2017. Μαζί με την περιγραφή της ευπάθειας, η Microsoft παρείχε εκτενείς πίνακες που απαριθμούσαν τα επηρεαζόμενα αρχεία και τις νεότερες εκδόσεις τους: για παράδειγμα, διαφορετικές εκδόσεις του gdi32.dll για πλατφόρμες x86, x64 και IA-64, με ημερομηνίες όπως 8 Σεπτεμβρίου 2017 και εκδόσεις αρχείων όπως 6.0.6002.24200. Αυτή η λεπτομέρεια επέτρεπε στους διαχειριστές να επιβεβαιώσουν ότι η ενημέρωση κώδικα είχε εφαρμοστεί σωστά.
Αργότερα, ερευνητές από το Project Zero (Google) αποκάλυψαν μια άλλη ευπάθεια zero-day που σχετίζεται με το gdi32.dll σε λειτουργία χρήστη . Αυτή τη φορά, το ελάττωμα επηρέασε τον χειρισμό των DIB (Device Independent Bitmaps) που είναι ενσωματωμένα σε μητρώα EMF (Enhanced Metafile). Ο ακατάλληλος χειρισμός αυτών των bitmaps μέσα στα μετααρχεία επέτρεψε την εξαγωγή πληροφοριών από τη μνήμη διεργασιών, με άμεσες επιπτώσεις στο απόρρητο των δεδομένων.
Αυτή η ευπάθεια zero-day μπορούσε να αναπαραχθεί τοπικά μέσω του Internet Explorer και απομακρυσμένα μέσω του Office Online ανοίγοντας ένα έγγραφο DOCX με ένα ειδικά κατασκευασμένο EMF. Η λίστα των επηρεαζόμενων εκδόσεων ήταν εκτενής, από τα Windows Vista Service Pack 2 έως τα Windows 10 , και συμπεριλαμβανομένων εκδόσεων των Windows Server όπως τα 2012 R2 και 2016. Το ζήτημα δημοσιοποιήθηκε μετά τη λήξη της τυπικής περιόδου 90 ημερών του Project Zero χωρίς να κυκλοφορήσει κάποια ενημέρωση κώδικα, καθιστώντας επίσημα την ευπάθεια μια πρακτική εκμετάλλευση zero-day.
Εν τω μεταξύ, η Microsoft αντιμετώπισε ένα αξιοσημείωτο περιστατικό: ένα εσωτερικό πρόβλημα την εμπόδισε να κυκλοφορήσει το προγραμματισμένο πακέτο ενημέρωσης κώδικα Patch Tuesday για ένα μήνα, καθυστερώντας τις διορθώσεις μέχρι τον επόμενο κύκλο. Αυτού του είδους οι καθυστερήσεις αυξάνουν τον χρόνο έκθεσης σε ευπάθειες που είναι ήδη γνωστές στην ερευνητική κοινότητα.
Πρόσφατα κρίσιμα σφάλματα: BSOD, απομακρυσμένη εκτέλεση και μεγάλες παρτίδες ενημερώσεων κώδικα
Με την πάροδο του χρόνου, τα τρωτά σημεία στο GDI έχουν εξελιχθεί σε πιο σοβαρά σενάρια. Ένα ιδιαίτερα εντυπωσιακό παράδειγμα είναι ένα θέμα ευπάθειας άρνησης υπηρεσίας που αναγνωρίστηκε ως CVE-2023-36884 , το οποίο επηρεάζει τις εκδόσεις των Windows 10 (από την έκδοση 1607), Windows 11 και Windows Server 2016, 2019 και 2022. Παρόλο που το αναγνωριστικό έχει συσχετιστεί με διαφορετικά στοιχεία ανάλογα με το ενημερωτικό δελτίο, η τεχνική ανάλυση περιγράφει ένα κρίσιμο ελάττωμα στο υποσύστημα γραφικών που μπορεί να προκαλέσει μπλε οθόνες θανάτου (BSOD) κατά την επεξεργασία λανθασμένων γραφικών αντικειμένων.
Το πρόβλημα σχετίζεται με τη συνάρτηση NtGdiDdDeleteDeviceBitmap στα win32k.sys . Κατά τον χειρισμό ενός μη έγκυρου bitmap ή συσκευής γραφικών, ο ευάλωτος κώδικας αποτυγχάνει να εκτελέσει έναν ενδελεχή έλεγχο ορίων buffer κατά την αντιγραφή δεδομένων από μια δομή συσκευής (π.χ., τύπου DD_DEVICE_OEM). Αυτή η παράλειψη επιτρέπει την αντικατάσταση της παρακείμενης μνήμης στον πυρήνα, δημιουργώντας μια εξαίρεση πρόσβασης στη μνήμη (PAGE_FAULT_IN_NONPAGED_AREA, κωδικός 0x00000050) και ενεργοποιώντας μια Μπλε Οθόνη Θανάτου (BSOD) με κωδικούς όπως IRQL_NOT_LESS_OR_EQUAL ή παρόμοιους.
Η τυπική ροή εκμετάλλευσης ξεκινά με δεδομένα γραφικών ενσωματωμένα σε πρωτόκολλα δικτύου όπως SMB ή RDP, ή ακόμα και μέσω WebDAV ή υπηρεσιών εκτύπωσης. Ένα λανθασμένο αρχείο EMF ταξιδεύει ως μέρος ενός απομακρυσμένου εγγράφου ή ροής και όταν μια εφαρμογή όπως το Office, το Edge, ένα πρόγραμμα προβολής εικόνων ή ακόμα και η ίδια η Εξερεύνηση Αρχείων επιχειρεί να ερμηνεύσει το περιεχόμενό του, καλείται το υποσύστημα GDI για να το επεξεργαστεί. Η ρουτίνα ανάλυσης δεν επικυρώνει σωστά ορισμένα μητρώα αντικειμένων, επιτρέποντας την κατάργηση αναφοράς ενός δείκτη εκτός εύρους και αποσταθεροποιώντας τη μνήμη του πυρήνα (ειδικά την Non-Paged Pool).
Παρόλο που ο αντίκτυπος που αναφέρεται σε επίσημα δελτία επικεντρώνεται στην άρνηση υπηρεσίας (DoS) , διάφοροι ερευνητές έχουν επισημάνει ότι, με πιο προηγμένες τεχνικές για την εκμετάλλευση της αλλοίωσης μνήμης (για παράδειγμα, επιτιθέμενοι στο σωρό), μπορεί να είναι δυνατή η δημιουργία αλυσίδων που οδηγούν σε εκτέλεση κώδικα σε λειτουργία πυρήνα, παρόμοια με αυτό που έχει παρατηρηθεί με ευπάθειες σε άλλα στοιχεία όπως το MSHTML (περίπτωση CVE-2021-40444).
Η κρισιμότητα του GDI έχει επίσης αντικατοπτριστεί σε μεγάλα κύματα ενημερώσεων κώδικα. Τον Ιούλιο του 2020, η Microsoft κυκλοφόρησε μια μαζική ενημέρωση που διόρθωσε 123 ευπάθειες στα προϊόντα της, 18 από τις οποίες χαρακτηρίστηκαν ως κρίσιμες. Μεταξύ των τελευταίων ήταν το CVE-2020-1435, το οποίο σχετίζεται άμεσα με τον τρόπο με τον οποίο το GDI χειρίζεται αντικείμενα στη μνήμη. Εάν ένας εισβολέας κατάφερνε να ξεγελάσει ένα θύμα ώστε να ανοίξει ειδικά δημιουργημένο περιεχόμενο (για παράδειγμα, επισκεπτόμενος έναν κακόβουλο ιστότοπο), θα μπορούσε να ενεργοποιήσει την απομακρυσμένη εκτέλεση κώδικα με τα ίδια δικαιώματα με τον χρήστη.
Στην ίδια παρτίδα εμφανίστηκε το CVE-2020-1436, που σχετίζεται με τον χειρισμό ειδικά κατασκευασμένων γραμματοσειρών, και το ιδιαίτερα υψηλού προφίλ CVE-2020-1350 , μια κρίσιμη ευπάθεια στον διακομιστή DNS των Windows με δυνατότητες τύπου worm, ικανή να διαδίδει κακόβουλο λογισμικό χωρίς την αλληλεπίδραση του χρήστη. Αν και το τελευταίο δεν επηρεάζει το GDI, απεικονίζει το πλαίσιο: ένα μόνο πακέτο ενημέρωσης κώδικα περιείχε ευπάθειες σε υπηρεσίες δικτύου, hypervisors (αρκετά ελαττώματα απομακρυσμένης εκτέλεσης στο Hyper-V) και στην ίδια τη γραφική διεπαφή.
Το CVE-2020-1435, συγκεκριμένα, σχετίζεται με τον τρόπο με τον οποίο το GDI χειρίζεται τα αντικείμενα γραφικών στη μνήμη . Ένα επιτυχημένο exploit θα επέτρεπε σε έναν εισβολέα να εγκαταστήσει προγράμματα, να προβάλει, να τροποποιήσει ή να διαγράψει δεδομένα και να δημιουργήσει λογαριασμούς χρηστών με πλήρη δικαιώματα. Ο τυπικός φορέας επίθεσης περιλαμβάνει την εξαπάτηση του χρήστη ώστε να επισκεφτεί έναν κακόβουλο ιστότοπο ή να ανοίξει ένα αρχείο που περιέχει πόρους γραφικών που έχουν σχεδιαστεί για να εκμεταλλευτούν την ευπάθεια. Αυτό ταιριάζει με το ιστορικό μοτίβο του GDI: οποιοδήποτε οπτικό περιεχόμενο που βασίζεται στη μηχανή απόδοσης μπορεί να αποτελεί ευπάθεια εάν το σύστημα δεν είναι ενημερωμένο.
Στον ίδιο κύκλο ενημερώσεων κώδικα του Ιουλίου 2020, ανακοινώθηκαν επίσης αρκετές κρίσιμες ευπάθειες στο Hyper-V (CVE-2020-1041, -1040, -1032, -1036, -1042 και -1043) , καταδεικνύοντας πώς διαφορετικά στοιχεία των Windows (δίκτυο, εικονικοποίηση, γραφικά) μπορούν να γίνουν κρίκοι στην ίδια αλυσίδα επίθεσης, εάν ο οργανισμός δεν διατηρεί ένα αυστηρό πρόγραμμα διαχείρισης ενημερώσεων κώδικα.
Πραγματικός αντίκτυπος σε συστήματα Windows, επηρεαζόμενες εκδόσεις και διανύσματα
Το εύρος των εκδόσεων που επηρεάζονται από τα τρωτά σημεία του GDI είναι ευρύ. Στις περιπτώσεις zero-day που τεκμηριώνονται από το Project Zero, το τρωτό σημείο στο gdi32.dll επηρέασε τα Windows Vista SP2, Windows 7, Windows 8.1, Windows 10 και αρκετές εκδόσεις του Windows Server (2012 R2, 2016, κ.λπ.). Αυτό σημαίνει ότι ένας τεράστιος αριθμός υπολογιστών, τόσο οικιακοί όσο και εταιρικοί, θα μπορούσαν να πέσουν θύματα διαρροών μνήμης απλώς ανοίγοντας ένα έγγραφο, περιηγούμενοι με τον Internet Explorer ή χρησιμοποιώντας το Office Online.
Στο πιο πρόσφατο σενάριο που επικεντρώνεται στο BSOD, η Microsoft επιβεβαίωσε ότι το αναλυμένο κενό ασφαλείας επηρεάζει τα Windows 10 από την έκδοση 1607 και μετά, τα Windows 11 και τα Windows Server 2016/2019/2022 , συμπεριλαμβανομένων των εκδόσεων Enterprise, Education και LTSC. Οι εκδόσεις που δεν υποστηρίζονται πλέον εκτεταμένα, όπως τα Windows 7 ή 8.1, δεν καλύπτονται από την επίσημη ενημέρωση κώδικα, αλλά αυτό δεν σημαίνει ότι δεν παρουσιάζουν προβλήματα GDI. Απλώς σημαίνει ότι δεν λαμβάνουν τακτικές διορθώσεις.
Σε λειτουργικό επίπεδο, ο αντίκτυπος μπορεί να συνοψιστεί σε τρεις κατηγορίες: αποκάλυψη πληροφοριών (μνήμη ανάγνωσης που θα έπρεπε να είναι ιδιωτική), άρνηση υπηρεσίας (επαναλαμβανόμενα BSOD) και απομακρυσμένη εκτέλεση κώδικα . Σε εταιρικά περιβάλλοντα, ένα BSOD σε έναν διακομιστή με κρίσιμους ρόλους (για παράδειγμα, ένας κοινόχρηστος διακομιστής εκτύπωσης ή ένας κεντρικός υπολογιστής Hyper-V) μπορεί να προκαλέσει μια αλυσιδωτή αντίδραση βλαβών: διακοπή των υπηρεσιών εκτύπωσης, απροσδόκητο τερματισμό λειτουργίας εικονικών μηχανών, απώλεια δεδομένων σε απομακρυσμένες συνεδρίες και μεγάλους χρόνους αποκατάστασης.
Από την οπτική γωνία του δικτύου, το GDI μπορεί να αξιοποιηθεί μέσω πρωτοκόλλων όπως το SMB (θύρα 445), το RDP ή το WebDAV, εάν κάποια υπηρεσία επεξεργάζεται αυτόματα εικόνες ή μετααρχεία EMF/WMF που λαμβάνονται. Τοπικά, αρκεί ένας χρήστης να ανοίξει ένα κακόβουλο αρχείο σε εφαρμογές που χρησιμοποιούν GDI, όπως το Paint, το WordPad, παλαιότερα προγράμματα προβολής εικόνων ή ακόμα και σε διεργασίες που εμπλέκονται στην προεπισκόπηση εικονιδίων και μικρογραφιών στην Εξερεύνηση Αρχείων . Οι πιο συνηθισμένες αλυσίδες επιθέσεων συνδυάζουν ένα email ηλεκτρονικού "ψαρέματος" (phishing) με ένα έγγραφο DOCX ή PDF που περιέχει ένα αρχείο EMF με λανθασμένη μορφή.
Σε ρυθμιζόμενους οργανισμούς (οικονομικά, υγειονομική περίθαλψη, δημόσια διοίκηση), τα περιστατικά που προκαλούνται από ευπάθειες που δεν έχουν διορθωθεί μπορούν να έχουν νομικές και κανονιστικές συνέπειες. Μια Μπλε Οθόνη Θανάτου (BSOD) που καταρρέει ένα κρίσιμο σύστημα μπορεί να θεωρηθεί συμβάν ασφαλείας που θέτει σε κίνδυνο τη συνέχεια της υπηρεσίας, το οποίο με τη σειρά του μπορεί να προκαλέσει ελέγχους και κυρώσεις που σχετίζονται με πλαίσια όπως ο GDPR ή ο HIPAA. Επιπλέον, διάφορες αναφορές πληροφοριών για απειλές έχουν αποδώσει την εκμετάλλευση ελαττωμάτων σε υποσυστήματα γραφικών σε ομάδες APT που στοχεύουν στόχους υψηλής αξίας στην Ασία και την Ευρώπη.
Αξίζει να θυμόμαστε ότι, σύμφωνα με κοινά δεδομένα του κλάδου (για παράδειγμα, αυτά που αντικατοπτρίζονται στις ετήσιες αναφορές παραβίασης δεδομένων), ένα σημαντικό ποσοστό συσκευών Windows παραμένει χωρίς ενημερώσεις κώδικα για περισσότερες από 90 ημέρες μετά την κυκλοφορία κρίσιμων ενημερώσεων. Αυτό αφήνει ένα ευρύ παράθυρο ευκαιρίας στους εισβολείς να αυτοματοποιήσουν τα exploits και να τα ενσωματώσουν σε πλαίσια όπως το Metasploit ή το Cobalt Strike, τα οποία είναι ικανά να σαρώνουν ολόκληρες περιοχές δικτύου για ευάλωτους κεντρικούς υπολογιστές.
Πώς η Microsoft διανέμει τις διορθώσεις και ποιο αρχείο τροποποιείται
Όταν ανακαλύπτεται ένα θέμα ευπάθειας στο GDI, η Microsoft κυκλοφορεί μια ενημέρωση ασφαλείας, η οποία συνήθως περιλαμβάνεται σε μηνιαίες συλλογές ενημερώσεων. Αυτές οι ενημερώσεις συνήθως παρέχονται μέσω του Windows Update , του Καταλόγου Microsoft Update ή εργαλείων διαχείρισης όπως οι Υπηρεσίες Windows Server Update Services (WSUS) και ο Διαχειριστής Ρύθμισης Παραμέτρων Microsoft Endpoint (MECM). Στην περίπτωση του θέματος ευπάθειας CVE-2017-11816, η αντίστοιχη ενημέρωση (για παράδειγμα, KB4042121 για Windows Server 2008) θα μπορούσε να ληφθεί είτε από το Windows Update είτε από τον κατάλογο, ως αυτόνομο αρχείο .msu.
Μια ιδιαιτερότητα που τονίζει η Microsoft είναι ότι εάν τα πακέτα γλωσσών εγκατασταθούν μετά την εφαρμογή της ενημέρωσης , η ενημέρωση κώδικα ασφαλείας πρέπει να επανεγκατασταθεί. Επομένως, συνιστάται πάντα να αναπτύσσετε πρώτα τις απαραίτητες γλώσσες και στη συνέχεια τις ενημερώσεις. Αυτή η λεπτομέρεια, η οποία μπορεί να φαίνεται ασήμαντη, έχει οδηγήσει σε περισσότερες από μία περιπτώσεις όπου ένα σύστημα θεωρήθηκε λανθασμένα ότι είχε ενημερωθεί, ενώ στην πραγματικότητα, ορισμένα δυαδικά αρχεία GDI δεν περιείχαν τη διορθωμένη έκδοση.
Στην τεκμηρίωση που σχετίζεται με αυτά τα ενημερωτικά δελτία, η Microsoft παρέχει εκτενείς πίνακες με πληροφορίες αρχείου : όνομα (για παράδειγμα, gdi32.dll), συγκεκριμένη έκδοση, μέγεθος, ημερομηνία, ώρα και πλατφόρμα (x86, x64, IA-64). Αυτοί οι πίνακες επιτρέπουν στους διαχειριστές και τους ελεγκτές να επαληθεύσουν εγκληματολογικά εάν έχει εγκατασταθεί το σωστό δυαδικό αρχείο. Μια παρόμοια διαδικασία χρησιμοποιείται για τα πακέτα .msu και .exe διαφορετικών εκδόσεων των Windows και του Office, όπου παρατίθενται οι κατακερματισμοί SHA1 και SHA256 κάθε αρχείου, ώστε οι ομάδες να μπορούν να επαληθεύσουν την ακεραιότητά τους.
Η λίστα με τα αρχεία και τα hashes είναι συντριπτική: από τα Windows6.0-KB2834886-x86.msu και τις παραλλαγές x64 και ia64, μέσω των Windows6.1-KB2835364-x64.msu, Windows8-RT-KB2835361-x86.msu, δεκάδες προγράμματα εγκατάστασης για Windows Server 2003 και Windows XP σε κάθε είδους γλώσσες (CHS, CHT, DEU, ESN, FRA, ITA, JPN, KOR, PTB, PTG, RUS, κ.λπ.), έως ενημερώσεις κώδικα για στοιχεία του Office και του Lync όπως το AttendeeAdmin.msp, το ogl2007-kb2687309-fullfile-x86-glb.exe ή το lyncloc2013-kb2817465-fullfile-x64-glb.exe. Κάθε ένα από αυτά ενσωματώνει τα δικά του hashes SHA1 και SHA256 για να διευκολύνει την επαλήθευση.
Σε όλες αυτές τις περιπτώσεις, ο απώτερος στόχος είναι ο ίδιος: η ενημέρωση του αρχείου gdi32.dll (ή των σχετικών δυαδικών αρχείων του υποσυστήματος γραφικών) στην ασφαλή έκδοση. Σε πλατφόρμες όπως ο Windows Server 2008, για παράδειγμα, το gdi32.dll αναφέρεται ως έκδοση 6.0.6002.24200, με μεγέθη που ποικίλλουν ανάλογα με την αρχιτεκτονική (περίπου 299.520 byte σε x86, 391.680 byte σε x64 και 955.392 byte σε IA-64). Αυτές οι τιμές, μαζί με την ημερομηνία δημιουργίας, αποτελούν τη βασική αναφορά για τον προσδιορισμό του εάν το σύστημα έχει εφαρμόσει την ενημέρωση κώδικα.
Η επίσημη τεκμηρίωση αναφέρεται επίσης σε άρθρα της Γνωσιακής Βάσης με λεπτομέρειες σχετικά με την εφαρμογή και την ανάπτυξη αυτών των ενημερώσεων, καθώς και σε συνδέσμους προς πόρους υποστήριξης: σελίδες βοήθειας του Windows Update, πύλες ασφαλείας για επαγγελματίες IT (όπως το TechNet Security), διεθνείς ιστότοποι υποστήριξης και συγκεκριμένες υπηρεσίες για την καταπολέμηση κακόβουλου λογισμικού με την επωνυμία Microsoft Secure.
Καλές πρακτικές για τον μετριασμό, την παρακολούθηση και την αντιμετώπιση
Πέρα από την εγκατάσταση ενημερώσεων κώδικα αμέσως μόλις είναι διαθέσιμες, υπάρχουν ορισμένα μέτρα μετριασμού και άμυνας σε βάθος που βοηθούν στη μείωση του κινδύνου που σχετίζεται με τις αποτυχίες GDI, ειδικά σε εταιρικά περιβάλλοντα με εκατοντάδες ή χιλιάδες υπολογιστές.
Καταρχάς, συνιστάται να περιορίσετε την επιφάνεια επίθεσης απενεργοποιώντας ή περιορίζοντας την αυτόματη επεξεργασία ορισμένων μορφών γραφικών σε εφαρμογές και προγράμματα περιήγησης. Για παράδειγμα, στο Microsoft Edge, μπορείτε να διαμορφώσετε πολιτικές ομάδας για να αποκλείσετε ή να ελέγξετε τη λήψη και τον χειρισμό μετα-αρχείων EMF/WMF χρησιμοποιώντας κλειδιά μητρώου στην περιοχή HKLM\SOFTWARE\Policies\Microsoft\Edge που σχετίζονται με τους περιορισμούς λήψης. Σε άλλες εφαρμογές, μπορείτε να χρησιμοποιήσετε επιλογές διαμόρφωσης για να αποτρέψετε την αυτόματη προεπισκόπηση εγγράφων από μη αξιόπιστες τοποθεσίες και να εφαρμόσετε οδηγούς αντιμετώπισης προβλημάτων για να επιλύσετε την αδυναμία απόκρισης της Εξερεύνησης Αρχείων.
Ένα άλλο ουσιαστικό επίπεδο είναι η τμηματοποίηση δικτύου σύμφωνα με τις αρχές Μηδενικής Εμπιστοσύνης . Αυτό περιλαμβάνει τον περιορισμό της κυκλοφορίας πρωτοκόλλων SMB, RDP και άλλων δυνητικά εκμεταλλεύσιμων μόνο στα απολύτως απαραίτητα υποδίκτυα, την εφαρμογή τείχους προστασίας επόμενης γενιάς με εις βάθος έλεγχο πακέτων και την επιβολή κανόνων που βασίζονται στην ταυτότητα και το περιβάλλον. Περιορίζοντας ποιες συσκευές μπορούν να επικοινωνήσουν με ποιες υπηρεσίες, ο αντίκτυπος μιας προσπάθειας πλευρικής εξάπλωσης ενός exploit μειώνεται δραστικά.
Από την πλευρά της ανίχνευσης, η εφαρμογή λύσεων Endpoint Detection and Response (EDR), όπως το Microsoft Defender for Endpoint, βοηθά στην παρακολούθηση της ανώμαλης συμπεριφοράς που σχετίζεται με συμβάντα win32k.sys, gdi32.dll και BSOD . Η ρύθμιση παραμέτρων ειδοποιήσεων για αιχμές σε σφάλματα μπλε οθόνης (για παράδειγμα, ξεκινώντας με το Event ID 1001 στο Event Viewer) και ασυνήθιστη πρόσβαση στο υποσύστημα γραφικών μπορεί να βοηθήσει στον εντοπισμό προσπαθειών εκμετάλλευσης ή ασταθειών που προκαλούνται από κακόβουλο λογισμικό.
Για τη διαχείριση ενημερώσεων κώδικα, συνιστάται ιδιαίτερα η αυτοματοποίηση της ανάπτυξης χρησιμοποιώντας το Windows Update for Business, το WSUS ή το MECM, αλλά πάντα ενσωματώνοντας μια φάση δοκιμών σε περιβάλλοντα σταδιοποίησης για την ανίχνευση πιθανών παλινδρομήσεων πριν από την έναρξη λειτουργίας. Σε υποδομές με κενό αέρα, συνιστάται να ελέγχετε όλα τα εισερχόμενα αρχεία με εργαλεία όπως οι κανόνες YARA που έχουν σχεδιαστεί για να αναγνωρίζουν ύποπτα μοτίβα σε EMF/WMF και άλλες γραφικές μορφές.
Σε πιο προηγμένα σενάρια, ορισμένοι οργανισμοί εξετάζουν το ενδεχόμενο μετεγκατάστασης των εσωτερικών εφαρμογών τους σε πιο σύγχρονα API όπως το Direct2D, το DirectWrite ή μηχανές γραφικών πολλαπλών πλατφορμών (Cairo, Skia), οι οποίες προσφέρουν καλύτερη απομόνωση και λιγότερη εξάρτηση από το παλαιότερο GDI. Μεσοπρόθεσμα, η Microsoft θα μπορούσε να καταργήσει σημαντικά τμήματα του GDI σε μελλοντικές εκδόσεις των Windows για να μειώσει την επιφάνεια επίθεσης, αν και η συμβατότητα με παλαιότερο λογισμικό θα παραμείνει μια πρόκληση.
Από την οπτική γωνία της εγκληματολογικής και της αντίστροφης μηχανικής, εργαλεία όπως τα WinDbg, KD και Volatility επιτρέπουν την ανάλυση των memory dumps μετά από ένα BSOD (Μπλε Οθόνη Θανάτου) και την παρατήρηση αλλοίωσης στη μνήμη με την ένδειξη "Gdi" εντός της ομάδας μνήμης πυρήνα. Τα exploits απόδειξης της ιδέας που δημοσιεύονται για ερευνητικούς σκοπούς καταδεικνύουν πώς ένα EMF (Engine Memory File) με ορισμένα παραμορφωμένα μητρώα (π.χ., στο EMR_HEADER) μπορεί να επιβάλει μια συνθήκη κούρσας και να προκαλέσει μια συντριβή. Αυτή η γνώση είναι κρίσιμη για τις ομάδες αντιμετώπισης περιστατικών ώστε να ανακατασκευάσουν τι συνέβη σε μια επίθεση πραγματικού κόσμου.
Σε περίπτωση συμβάντος, συνιστάται η τήρηση πλαισίων δράσης όπως τα NIST (Identify, Contain, Eradicate, Recover). Αυτό περιλαμβάνει την απομόνωση των επηρεαζόμενων συστημάτων , τη διατήρηση αποδεικτικών στοιχείων (memory dumps, αρχεία καταγραφής, δείγματα ύποπτων αρχείων), την ανάπτυξη εκκρεμών ενημερώσεων κώδικα, τη σάρωση συστημάτων με ενημερωμένα εργαλεία προστασίας από κακόβουλο λογισμικό και την επαναφορά από επαληθευμένα αντίγραφα ασφαλείας ή την επιστροφή σε προηγούμενο σημείο . Επιπλέον, συνιστάται η περιοδική αναθεώρηση των διδαγμάτων που αντλήθηκαν για τη βελτίωση των διαδικασιών ενημέρωσης κώδικα και θωράκισης του συστήματος.
Όλο αυτό το ιστορικό αποτυχιών και ενημερώσεων κώδικα που περιβάλλουν το Windows GDI υπογραμμίζει πόσο εύθραυστα μπορεί να είναι τα παλαιότερα στοιχεία όταν δεν υπάρχει μια ισχυρή στρατηγική ασφάλειας και ενημέρωσης σε επίπεδα. Η κατανόηση του τρόπου με τον οποίο αξιοποιούνται αυτά τα τρωτά σημεία, ποιες εκδόσεις διατρέχουν κίνδυνο και ποια πρόσθετα στοιχεία ελέγχου μπορούν να εφαρμοστούν επιτρέπει στους διαχειριστές και τους επαγγελματίες στον κυβερνοχώρο να ενισχύσουν τα συστήματά τους και να αποτρέψουν μια απλή εικόνα ή ένα ειδικά κατασκευασμένο μετααρχείο από το να καταρρεύσει ή να θέσει σε πλήρη κίνδυνο μια υποδομή των Windows.
