Triều Tiên luôn là một quốc gia thú vị để nghiên cứu từ góc độ công nghệ. Dưới sự kiểm soát của chế độ, người dân gần như bị cô lập hoàn toàn với thế giới bên ngoài, và việc nhập cảnh vào đất nước này bị hạn chế nghiêm ngặt. Hầu hết những gì chúng ta biết được đều là sự tổng hợp từ ảnh vệ tinh, thông tin từ những người đào thoát, và các báo cáo thường mâu thuẫn. Chính vì vậy, Red Star OS 3, một bản phân phối Linux dựa trên Fedora do Triều Tiên phát triển, lại càng trở nên hấp dẫn đặc biệt. Đây là một cái nhìn hiếm hoi vào một thế giới phần lớn còn bí ẩn, và bài viết này sẽ đưa bạn đi sâu vào khám phá hệ điều hành này thông qua việc thiết lập nó trên một máy ảo.
Red Star OS 3, phiên bản được trình bày chi tiết tại đây, đã bị rò rỉ cách đây gần một thập kỷ. Trên thực tế, phiên bản kế nhiệm của nó là Red Star OS 4 được cho là dựa trên Ubuntu, mặc dù phiên bản này chỉ đến tay một số ít nhà báo và không thể tải xuống công khai. Mặc dù một thập kỷ đã trôi qua và thông tin về Red Star OS 3 đã được lan truyền rộng rãi trên internet, chúng tôi nhận thấy việc khám phá lại nó là cần thiết để làm nổi bật những khía cạnh kỳ lạ nhất của hệ điều hành này, và những gì nó tiết lộ về đất nước bí ẩn mà chúng ta ít biết. Điều bất ngờ là vẫn còn nhiều điều để khám phá, khi chúng tôi phát hiện ra một số chức năng chưa từng được báo cáo ở bất kỳ đâu khác.
Đối với những ai muốn bắt đầu hành trình khám phá Red Star OS, có một vài điều quan trọng cần lưu ý. Thứ nhất, đúng như bạn mong đợi, hệ điều hành này bị khóa chặt ngay từ đầu, theo dõi các tệp mà người dùng truy cập và chặn quyền truy cập vào web rộng lớn. Thứ hai, nếu bạn định tự chạy nó, mặc dù hiện tại có vẻ an toàn khi chạy hệ điều hành này trên kết nối mạng gia đình với quyền truy cập internet hạn chế, nhưng vẫn nên không cấp cho hệ điều hành này quyền truy cập vào mạng internet gia đình của bạn hoàn toàn.
Để phục vụ cho mục đích thử nghiệm, trong môi trường VirtualBox, chúng tôi đã không cấp cho Red Star OS một bộ chuyển đổi mạng. Thành thật mà nói, không có quá nhiều điều phải lo lắng khi chạy nó. Mặc dù việc thoát khỏi máy ảo (VM escape) về mặt lý thuyết có thể xảy ra thông qua một trình điều khiển ảo do máy ảo tạo ra, nhưng khả năng một hệ điều hành mười năm tuổi đã được nghiên cứu kỹ lưỡng vẫn có thể khai thác một môi trường hiện đại là vô cùng thấp. Hơn nữa, tất cả các kết nối chính của nó đều hướng đến mạng nội bộ của Triều Tiên, vì vậy nó dường như không có khả năng “gọi về nhà” (phoning home) thông qua internet toàn cầu.
Red Star OS là gì?
Lịch sử thú vị của Red Star OS
Red Star OS, như đã đề cập, là một bản phân phối Linux được phát triển tại Triều Tiên. Dự án này bắt đầu vào năm 1998, và phiên bản đầu tiên xuất hiện vào năm 2008 với giao diện và cảm giác rất giống Windows XP. Red Star OS 2 được phát hành vào năm 2009 và cũng mang dáng dấp của Windows XP. Tuy nhiên, Red Star OS 3, phiên bản chúng ta đang xem xét ở đây, đã thay đổi đáng kể giao diện người dùng để giống với macOS.
Về cơ bản, nó là một bản phân phối Linux điển hình dựa trên Red Hat/Fedora, mặc dù nó chứa các phần mềm được cài đặt sẵn và một gói ngôn ngữ tiếng Hàn được bản địa hóa với thuật ngữ và chính tả của Triều Tiên. Có thể chuyển đổi ngôn ngữ của hệ điều hành sang tiếng Anh với quyền truy cập root, và cũng có các trình cài đặt đã được sửa đổi để chuyển đổi trình cài đặt sang tiếng Anh.
Màn hình Red Star OS 3 hiển thị tùy chọn thay đổi ngôn ngữ sang tiếng Anh
Các phần mềm người dùng được cài đặt sẵn bao gồm một trình duyệt dựa trên Firefox có tên là Naenara (có nghĩa là “Đất nước của tôi”), một trình soạn thảo văn bản, một bản sao của OpenOffice có tên là Sogwang Office, một trình phát đa phương tiện (được gọi là QuickTime khi sử dụng hệ điều hành bằng tiếng Anh), một ứng dụng chia sẻ tệp và một số trò chơi cơ bản. Ngoài ra còn có một ứng dụng âm nhạc có tên UnBangUl, một cái tên trùng với một thương hiệu phong cầm lớn của Triều Tiên. Wine cũng được cài đặt sẵn để cho phép chạy các ứng dụng Windows.
Tuy nhiên, nếu đi sâu hơn, có nhiều phần mềm hơn đáng kể đang hoạt động bên dưới. Các tệp được tự động đóng dấu bản quyền (watermark), các tệp hệ thống được bảo vệ và hệ thống sẽ tự khởi động lại nếu phát hiện một thay đổi trái phép. Một phần mềm “diệt virus” ẩn có thể xóa các tệp được chỉ định. Snort cũng được cài đặt sẵn, mặc dù không được kích hoạt mặc định, và các quy tắc iptables thực hiện những điều sau:
- Cho phép một số dịch vụ đến nhất định như HTTP, HTTPS, SMB và chặn phần còn lại.
- Xác định việc cho phép lưu lượng phản hồi cho các dịch vụ đó.
- Các yêu cầu DNS có thể được thực hiện, nhưng các phản hồi sẽ không được chấp nhận vì iptables không đề cập đến sport 53 hoặc dport 53.
- mDNS/Bonjour được chấp nhận rõ ràng qua cổng 5353.
Red Star OS 3 hiển thị giao diện terminal với quyền truy cập root
Phần lớn, Red Star OS là một hệ điều hành không có gì đáng chú ý trên bề mặt. Một khi bạn đã có quyền truy cập root vào hệ thống và có thể cài đặt các ứng dụng của riêng mình mà không bị hạn chế, cùng với việc gỡ cài đặt phần mềm gián điệp được cài đặt sẵn để giám sát người dùng, nó chỉ là một bản Fedora được thay đổi giao diện, và chỉ vậy thôi. Để chạy các phiên bản trình quản lý gói hiện đại trên nó có thể là một yêu cầu khó khăn, và đặc biệt là bây giờ, nó quá lỗi thời để thực sự có thể sử dụng được.
Tuy nhiên, có một số khía cạnh của hệ thống đặt ra nhiều câu hỏi. Một trong những điều lớn nhất là với Naenara, trình duyệt dựa trên Firefox được cài đặt sẵn.
Naenara tiết lộ gì về internet của Triều Tiên?
Hay đúng hơn là intranet
Trình duyệt Naenara trên Red Star OS 3 hiển thị các tiện ích mở rộng
Khi lần đầu khởi chạy Naenara, trang chủ mặc định là địa chỉ IP “10.76.1.11.” Đây là một địa chỉ IP nội bộ được IETF và IANA dành riêng như đã chỉ rõ trong RFC1918, và bạn thường thấy các địa chỉ “10.x.x.x” được sử dụng trong các công ty hoặc mạng gia đình. Mặc dù ai cũng biết rằng Triều Tiên có một mạng nội bộ được gọi là Kwangmyong, điều này cho chúng ta một chút cái nhìn sâu sắc về cách các thiết bị có thể giao tiếp. Để có thêm ngữ cảnh, Will Scott, một cựu giảng viên tại Đại học Khoa học và Công nghệ Bình Nhưỡng, đã tuyên bố rằng đất nước này dường như có hệ thống DNS riêng với các tên miền cấp cao nhất (TLD) riêng. Chúng bao gồm các TLD không tồn tại trên web rộng lớn, như .web và .rec.
Scott cũng nói rằng hầu hết các máy tính của người dùng cuối mà ông thấy đều chạy Windows XP và một số ít sử dụng Windows 7, và Red Star không phải là thứ mà ông đã thấy ở nhiều nơi. Lý thuyết của ông là Red Star được sử dụng nhiều hơn như một hệ điều hành công nghiệp hơn là một hệ điều hành được thiết kế cho người dùng cuối, và hầu hết các máy tính mà ông đã thấy trong thời gian ở Triều Tiên dường như được nhập khẩu từ Trung Quốc.
Việc địa chỉ IP nội bộ của Naenara là một địa chỉ IP mặc định là điều rất hợp lý. Triều Tiên chỉ được APNIC cấp chính thức 1.024 địa chỉ IP, và dải địa chỉ của họ là 175.45.176.0/22. Có hai khối bổ sung được gán cho họ dưới sự kiểm soát của China Unicom (210.52.109.0/24) và công ty vệ tinh Nga SatGate (77.94.35.0/24), mặc dù tổng số này vẫn là một số lượng địa chỉ rất nhỏ đối với một quốc gia có 26,42 triệu dân (tính đến năm 2023). Tuy nhiên, đây không phải là vấn đề lớn đối với Triều Tiên, vì quyền truy cập internet toàn cầu bị hạn chế nghiêm ngặt trong khu vực đối với các quan chức cấp cao của chính phủ, một số nhân viên Trung tâm Máy tính Triều Tiên và một số học giả với mục đích nghiên cứu. Quyền truy cập internet này cũng được giám sát chặt chẽ.
Đối với các chứng chỉ được trình duyệt sử dụng, các chứng chỉ gốc có mã nhà phát hành quốc gia là KP, mã ISO 3166-1 Alpha-2 cho Triều Tiên. Điều này có ý nghĩa; Scott đã nói rằng các yêu cầu mạng yêu cầu sử dụng proxy HTTP Squid ở cấp độ trường học, và mọi yêu cầu đều được liên kết với tên người dùng của ông. Với các chứng chỉ của Triều Tiên, nhà phát hành nắm giữ khóa riêng có thể thực hiện tấn công Man-in-the-middle đối với tất cả các yêu cầu “được mã hóa”. Điều thú vị là Scott lưu ý rằng trong khi việc sử dụng internet của ông không bị lọc, sinh viên và giáo sư tại trường đại học có quyền truy cập vào internet rộng lớn giống như ông, mặc dù của họ bị lọc, và một người giám sát phòng thí nghiệm sẽ theo dõi người dùng trong một phòng đặc biệt của khuôn viên được chỉ định cho việc duyệt web bên ngoài đó.
Xem xét about:config trong Naenara, dường như nhiều URL của Google và Mozilla đơn giản được thay thế bằng một địa chỉ IP nội bộ, vì vẫn còn các cờ địa chỉ liên quan đến Mozilla và Chrome theo đúng đường dẫn URL của một yêu cầu thông thường, mặc dù với IP nội bộ được đặt vào. Điều thú vị là có vẻ như có các tiện ích mở rộng chính thức có thể được cài đặt, và công cụ tìm kiếm mặc định thay thế miền của Google bằng miền nội bộ đã được ghi nhận trước đó. Trừ khi chức năng cơ bản được tích hợp sẵn có thể truy cập bị hỏng trên mạng nội bộ của Triều Tiên, kết luận hợp lý là các dịch vụ nội bộ có khả năng được mô phỏng theo các dịch vụ hiện có từ bên ngoài đất nước.
Cuối cùng, việc kiểm tra cập nhật tự động không thể tắt được. Tuy nhiên, bạn có thể đặt nó thành “luôn hỏi” trước khi một bản cập nhật được cài đặt. Ngay từ đầu, nó sẽ tự động cài đặt các bản cập nhật.
Các ứng dụng nói chung khá kỳ lạ trên Red Star OS 3
Thậm chí có một tiện ích mã hóa, mặc dù chỉ người dùng root mới có thể truy cập
Tiện ích mã hóa Bokem trên Red Star OS 3, sử dụng thuật toán Pilsung
Trong quá trình điều hướng hệ điều hành và tìm kiếm những gì có thể, chúng tôi đã khám phá một ứng dụng có tên “Bokem”. Đây là một tiện ích mã hóa triển khai một thuật toán mã hóa khối 128-bit dựa trên AES có tên Pilsung. Hóa ra, bản thân thuật toán này dường như khá an toàn, mặc dù việc triển khai của nó trong Bokem có thể không. Điều đáng nói là bạn cần quyền truy cập root để sử dụng nó, vì vậy có thể không ai được mong đợi sử dụng nó cả. Khởi chạy ứng dụng này trong máy ảo yêu cầu tiền tố lệnh khởi chạy bằng “DISPLAY=:0”.
Điều thú vị hơn là bố cục thực tế của các ứng dụng. Không chỉ hệ điều hành có giao diện giống macOS; bản thân các ứng dụng cũng được lưu trữ theo cách tương tự như các ứng dụng được lưu trữ trên macOS. Trong Red Star, chúng được đặt trong /Applications, và mỗi ứng dụng nằm trong thư mục “.app” riêng của nó. Ví dụ, “QuickTime” nằm trong thư mục QuickTime.app, chứa một thư mục Contents, một thư mục Resources và một thư mục “RedStar”, chứa tệp thực thi thực tế.
Không có nhiều điều để thấy từ phía ứng dụng mà chúng ta chưa xem xét. Tuy nhiên, chúng tôi đã dành thời gian để tìm hiểu một trong những tiện ích được thiết kế để theo dõi người dùng, và vẫn còn một số điều thú vị chưa từng được báo cáo ở bất kỳ đâu khác.
Giải mã scnprc
Phần mềm “diệt virus” chạy trên Red Star OS
Có hai thành phần cốt lõi tạo nên hệ thống khóa chặt của Red Star. Đầu tiên là scnprc, dùng để quét các tệp, và thứ hai là opprc, dùng để đóng dấu bản quyền (watermarking) các tệp đó. Tuy nhiên, scnprc cũng thực hiện một số điều khá thú vị, và chúng tôi đã đưa nó vào Ghidra để phân tích một số chức năng của nó. Chúng tôi đã xem xét các chức năng sau trong mã nhị phân:
WriteHiddenEncodeFileWritePatternToUSBWriteImageInformationImageProcessingget_disk_serialScanCDcheckfile
Không rõ chức năng nào trong số này thực sự được sử dụng, nhưng các chức năng này tồn tại trong mã nhị phân và về mặt lý thuyết có thể được thực thi bất cứ lúc nào.
Những khám phá thú vị nhất của chúng tôi là trong WritePatternToUSB và ScanCD. Chúng tôi chưa từng thấy bất kỳ cuộc thảo luận nào về cả hai chức năng này liên quan đến Red Star OS trước đây, mặc dù các hoạt động của chúng đã được giả định rộng rãi. Chúng ta sẽ xem xét WritePatternToUSB trước.
Khám phá WritePatternToUSB
WritePatternToUSB là một chức năng đồ sộ mất một thời gian để giải mã, nhưng về cơ bản, nó thực hiện những điều sau:
- Kiểm tra tính hợp lệ của hệ thống tệp bằng cách kiểm tra xem ổ đĩa có thể mở được không, đọc 64 byte đầu tiên và xác nhận bằng một hàm hỗ trợ xem nó có giống hệ thống tệp FAT32 không.
- Đọc các trường FAT32 từ hệ thống tệp. Bao gồm:
FATSz32/DrvNum: offset 0x24 (36) cho loại FAT. Đây sẽ làDrvNumcho FAT16 hoặcFATSz32cho FAT32.BPB_RsvdSecCnt: Offset 0x0E (14) cho số lượng sector dự trữ.BPB_BytsPerSec: Offset 0x0B (11) cho số byte mỗi sector.BPB_FSInfo: Offset 0x30 (48) cho sector bắt đầu của FSINFO.
- Đọc sector FSINFO.
- Tính toán một byte offset để phân định vùng FAT.
- Kiểm tra một mẫu (pattern) với thông tin thu được từ hệ thống tệp.
- Mẫu được cập nhật, hoặc một mẫu mới được tạo.
Chúng tôi không thể xác định chính xác mẫu nào đang được ghi, mặc dù chúng tôi có thể thấy rằng nó nhận một tệp “tmp.tmp” với dữ liệu cần thiết. Chúng tôi nghi ngờ điều này hoặc được cung cấp bởi opprc, hoặc chưa được triển khai hoàn chỉnh. Chức năng sẽ tìm kiếm đến fatStart+clusterIndex*4, ghi một giá trị 4 byte tại vị trí mảng đó và xử lý thông qua một bản đồ cluster trong bộ nhớ.
Khám phá ScanCD
ScanCD là một chức năng thú vị khác, nhưng may mắn thay, dễ hiểu hơn nhiều. Dường như nó được gọi khi một đĩa CD được đưa vào hệ thống và thực hiện những điều sau:
- Nó quét mọi thư mục trên đĩa CD được đưa vào.
- Mọi tệp được tìm thấy đều được chuyển đến một chức năng
checkfile.checkfilegọi một tiến trình hỗ trợ khác để phân tích tệp.- Phản hồi từ tiến trình điền vào một biến cục bộ.
- Kiểm tra các loại tệp khác nhau dựa trên mô tả nhận được.
- Trong những điều kiện rất cụ thể, một giá trị -1000 có thể được trả về.
- Trong trường hợp này, đĩa CD được đẩy ra.
- Đường dẫn tệp vi phạm được ghi lại.
- Một cảnh báo GUI được hiển thị.
- Hệ thống được khởi động lại sau 1000 giây.
checkfile nhận dạng các tệp sau:
- Hình ảnh: Dữ liệu hình ảnh JPEG, dữ liệu hình ảnh TIFF, dữ liệu hình ảnh PNG, dữ liệu hình ảnh GIF, dữ liệu bitmap.
- Âm thanh (nén): MPEG ADTS, âm thanh Wave, Microsoft ASF, MP3, “rất ngắn”.
- Video/container: Dữ liệu RIFF (little-endian), chuỗi MPEG, RealMedia, phim QuickTime, Macromedia Flash (Video).
- Văn bản thuần túy/nguồn: UTF, Unicode, ASCII, văn bản chung.
- Tài liệu PDF.
- Tệp trợ giúp CHM.
- Hình ảnh DjVu.
- Sách điện tử CNKI CAJ (Đây là một nhà xuất bản ở Trung Quốc chuyên xuất bản các bài báo học thuật).
- Office 2007 và OOXML.
- Hangul Word Processor.
- Sách điện tử Superstar/Founder PDG.
Những điều này không tự động kích hoạt cảnh báo và tắt máy. Chúng tôi không thể xác nhận điều gì chính xác kích hoạt nó, và chúng tôi nghi ngờ điều này cũng được quyết định bởi một dịch vụ bên ngoài, vì có nhiều cuộc gọi tiến trình.
Phân tích mã nguồn scnprc trên Ghidra, hiển thị hàm get_disk_serial
Tệp dường như quản lý việc đóng dấu bản quyền cho tất cả các tệp khác liên quan đến get_disk_serial, và tệp này khá đơn giản. Nó thực hiện những điều sau:
- Lấy số chính (major) và số phụ (minor) của
st_devcủa hệ thống tệp gốc. - Tạo một thiết bị khối tạm thời trên ổ đĩa đó.
- Cố gắng kéo số serial của ổ đĩa bằng
ioctlthông qua một trong ba cách:- Khảo sát
HDIO_GET_IDENTITY. - Khảo sát
SG_ATA_IDENTIFYvới một góiIDENTIFY_DEVICE. - Thử lại nhưng với một gói
IDENTIFY. - Nếu thất bại, kéo từ
gszConstSerial.
- Khảo sát
- Cắt phản hồi thành 20 byte, chuyển đổi sang chữ hoa, loại bỏ “WD-W” nếu nó tồn tại (ID của Western Digital).
- Mọi ký tự ‘0’ đứng đầu đều được thay thế bằng ‘Z’.
Số serial ổ đĩa này dường như đóng một vai trò trong việc đóng dấu bản quyền tệp. Khi hình ảnh, tài liệu hoặc video được phát hiện, một dấu bản quyền (watermark) nhận dạng máy tính đã tương tác với chúng sẽ được nhúng vào tệp. Với hình ảnh, dữ liệu này được thêm vào cuối tệp, trong khi một tài liệu Word sẽ thấy nó được chèn vào không gian trống ở đầu tệp. Đối với hình ảnh, các thiết bị độc nhất sẽ có dữ liệu của chúng được thêm vào cuối chúng.
Hành vi đóng dấu bản quyền được mô tả ở trên, chèn trực tiếp vào một tệp hiện có, đã được mô tả trong quá khứ với Red Star OS, nhưng chúng tôi đã khám phá một cách tiếp cận đóng dấu bản quyền khác, rất thú vị mà chúng tôi chưa từng thấy được tài liệu hóa ở bất kỳ đâu khác. Cách đóng dấu bản quyền được báo cáo trước đây hoạt động, nhưng có thể dễ dàng được xác định bằng cách xem tệp trong trình chỉnh sửa hex. Chức năng mà chúng tôi tìm thấy, được gọi là WriteImageInformation, có một cách tiếp cận khác. Nó ẩn một chuỗi watermark bên trong một bitmap RGB, thêm tiền tố “WM” vào đầu một mảng ký tự. Sau đó, nó điều chỉnh các hệ số DCT tần số cao của các khối byte 8*8 liên tiếp của hình ảnh, lặp lại điều đó nhiều lần theo yêu cầu để bao phủ toàn bộ kích thước của hình ảnh, và sau đó ghi lại các pixel đã sửa đổi.
Cách tiếp cận này yêu cầu hình ảnh phải có kích thước tối thiểu, và giống như các chức năng khác được xác định ở đây, không rõ liệu nó có thực sự được sử dụng trong phiên bản phần mềm này hay không. Tuy nhiên, nó tồn tại, có nghĩa là nếu nó không được sử dụng trước đây, thì có lẽ nó đang được sử dụng bây giờ hoặc đã được cải tiến.
Không có lý do gì để sử dụng Red Star OS
Dù nghe có vẻ hấp dẫn đến đâu
Giao diện desktop chính của Red Star OS 3 với thiết kế tương tự macOS
Dù nghe có vẻ hấp dẫn đến đâu, bạn không nên cài đặt Red Star OS trừ khi bạn biết mình đang làm gì. Nó về cơ bản là phần mềm gián điệp được ngụy trang dưới dạng một hệ điều hành, nhưng tất nhiên, điều đó đã được dự đoán trước. Không chỉ vậy, nó thậm chí còn không thực sự có thể sử dụng được trong thế giới ngày nay. Firefox 3.5 là một phiên bản cực kỳ cũ, và các trang web sử dụng HTTPS sẽ không cho phép bạn truy cập chúng ngay từ đầu. Không có lý do gì để triển khai nó, và bạn chỉ tự đặt mình vào nguy hiểm một cách vô ích khi làm như vậy.
Tất nhiên, có thể lập luận rằng hệ điều hành này chỉ “gọi về nhà” trong mạng nội bộ Triều Tiên, và bạn có thể đúng, nhưng nó cũng không đáng để mạo hiểm. Việc chạy nó trong một máy ảo có thể vui, nhưng chúng tôi đã thấy nhiều người cài đặt nó dưới dạng hệ điều hành chạy song song (dual-booted), không nhận ra rằng, ít nhất, bạn đang thêm dữ liệu nhận dạng vào tất cả các tệp mà Red Star có thể truy cập mà không có lý do chính đáng nào.
Đã có rất nhiều cuộc nói chuyện và điều tra hấp dẫn về Red Star OS 3, và chúng tôi chỉ mới “gãi bề mặt” trong phân tích ở đây. Chúng tôi thực sự khuyến khích bạn tìm hiểu thêm nếu bạn muốn khám phá sâu hơn về hệ điều hành bí ẩn này.
