zdalne wykonanie kodu (RCE)

Zdalne wykonanie kodu to poważna luka pozwalająca atakującemu uruchomić dowolne polecenia na zaatakowanym systemie.

Na czym polega zdalne wykonanie kodu

Zdalne wykonanie kodu, określane skrótem RCE od angielskiego Remote Code Execution, jest klasą podatności, w której osoba atakująca może doprowadzić do uruchomienia własnych instrukcji w systemie bez fizycznego dostępu do urządzenia. Nie chodzi wyłącznie o zdalne przesłanie pliku ani o wykonanie pojedynczej funkcji aplikacji. Istotą RCE jest możliwość wpłynięcia na sposób działania programu tak, aby przetworzył spreparowane dane jako kod, polecenie systemowe albo instrukcję wykonywaną przez uprzywilejowany komponent.

Podatność może znajdować się w systemie operacyjnym, przeglądarce, bibliotece używanej przez aplikację, sterowniku, usłudze sieciowej lub module odpowiedzialnym za obsługę określonego formatu plików. Do wywołania błędu może wystarczyć otwarcie odpowiednio przygotowanego dokumentu, odebranie komunikatu sieciowego, odwiedzenie strony internetowej albo uruchomienie programu przetwarzającego dane z nieznanego źródła. Sam fakt obecności RCE nie oznacza jeszcze, że każdy komputer został zaatakowany, ale zwiększa ryzyko przejęcia kontroli nad procesem podatnej aplikacji.

Drogi wykorzystania podatności RCE

Atak RCE zwykle zaczyna się od dostarczenia do programu danych przygotowanych w sposób wykorzystujący konkretny błąd. Może to być przepełnienie bufora, nieprawidłowa deserializacja obiektu, błąd w analizie obrazu lub archiwum, wstrzyknięcie polecenia, pomyłka w kontroli uprawnień albo luka w mechanizmie obsługi żądania sieciowego. Każdy z tych mechanizmów działa inaczej, dlatego określenie „RCE” opisuje skutek podatności, a nie jedną konkretną metodę ataku.

Znaczenie ma także kontekst wykonania podatnego procesu. Jeżeli aplikacja działa z uprawnieniami zwykłego użytkownika, kod uruchomiony przez atakującego może mieć ograniczony dostęp do plików i ustawień. Jeżeli jednak podatny komponent działa z uprawnieniami administratora, zakres możliwych działań jest znacznie większy. W systemie Windows konsekwencje mogą obejmować uruchomienie procesu, zmianę konfiguracji, instalację niepożądanego oprogramowania albo modyfikację mechanizmów startowych. W systemach uniksowych podobne skutki zależą od użytkownika, grupy i uprawnień procesu, który przetworzył złośliwe dane.

RCE nie musi być wykorzystywane bezpośrednio z internetu. Podatny program może zostać uruchomiony lokalnie przez użytkownika, inną aplikację lub złośliwy plik. Z kolei w przypadku komponentu dostępnego przez sieć atakujący może próbować wykorzystać lukę bez interakcji osoby korzystającej z komputera. Dlatego ocena ryzyka wymaga sprawdzenia, czy dany program jest wystawiony na połączenia zewnętrzne, jakie dane przetwarza oraz z jakimi uprawnieniami działa.

Objawy i potwierdzanie problemu na komputerze

Nie istnieje jeden charakterystyczny objaw, który samodzielnie potwierdza zdalne wykonanie kodu. Podejrzenie mogą wzbudzić nieoczekiwane procesy, samoczynne uruchamianie programów, zmiany w konfiguracji, nietypowe połączenia sieciowe, wyłączanie zabezpieczeń, błędy aplikacji pojawiające się po otwarciu określonego pliku oraz powtarzające się awarie konkretnego komponentu. Takie symptomy mają jednak również przyczyny niezwiązane z atakiem, na przykład uszkodzenie plików systemowych, wadliwą aktualizację, konflikt sterowników lub awarię nośnika danych.

Rzetelna weryfikacja powinna rozpocząć się od ustalenia wersji systemu i aplikacji, momentu wystąpienia problemu oraz źródła danych, które poprzedziły nieprawidłowość. Następnie analizuje się dzienniki systemowe, historię uruchamiania procesów, aktywność sieciową i stan aktualizacji zabezpieczeń. Ważne jest zachowanie oryginalnych komunikatów błędów oraz informacji o tym, czy problem pojawia się przy konkretnym pliku, stronie lub urządzeniu zewnętrznym. Bez tych danych łatwo pomylić RCE z ogólnym spowolnieniem albo awarią programu.

Jeżeli istnieje uzasadnione podejrzenie wykorzystania luki, nie należy bez potrzeby uruchamiać podejrzanego pliku ani wielokrotnie powtarzać czynności, która wywołuje problem. Najpierw warto odłączyć komputer od sieci, jeżeli jest to możliwe bez utraty ważnych informacji, a potem zabezpieczyć dane diagnostyczne. Aktualizacja podatnego programu usuwa ryzyko tylko wtedy, gdy producent rzeczywiście opublikował poprawkę obejmującą daną lukę. Samo ponowne uruchomienie komputera nie jest dowodem usunięcia problemu.

Aktualizacje, uprawnienia i dalsza naprawa

Podstawową metodą ograniczania ryzyka RCE jest instalowanie aktualizacji systemu operacyjnego, przeglądarek, programów i sterowników pochodzących z wiarygodnych źródeł. Aktualizacja powinna być dobrana do konkretnej wersji komponentu, ponieważ poprawka dla jednego wydania nie musi obejmować innego produktu ani wcześniejszej gałęzi programu. Pomocne jest także usunięcie nieużywanego oprogramowania i wyłączenie funkcji, które nie są potrzebne, ale nie zastępuje to aktualizacji ani analizy incydentu.

Ograniczenie uprawnień procesu zmniejsza potencjalny zakres szkód, lecz nie zmienia podatnego programu w bezpieczny. Należy unikać codziennej pracy na koncie administratora, ostrożnie otwierać pliki z nieznanych źródeł i utrzymywać działające mechanizmy ochrony systemu. Po podejrzeniu uruchomienia niepożądanego kodu potrzebne może być sprawdzenie autostartu, zadań zaplanowanych, zainstalowanych aplikacji, ustawień przeglądarki oraz integralności systemu. Jeżeli na komputerze znajdują się ważne pliki, przed działaniami naprawczymi trzeba rozważyć ich bezpieczne skopiowanie, aby nie nadpisać informacji przydatnych do ustalenia przyczyny.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z systemem, aplikacjami oraz nietypowym działaniem komputera. W przypadku podejrzenia RCE zakres prac zależy od objawów i stanu urządzenia: może obejmować ustalenie źródła błędu, sprawdzenie aktualizacji, analizę podstawowych oznak nieprawidłowego działania oraz przywrócenie poprawnej pracy systemu w zakresie możliwym do potwierdzenia podczas diagnostyki.