Перейти к содержанию
Danilka

GPU — новый помощник вирусописателей?

Recommended Posts

Danilka

Группа исследователей из Греции и США создала прототип вредоносной программы, которая для усиления самозащиты использует возможности графического процессора, взаимодействующего с ЦП.

Концептуальный образец зловреда был разработан с применением таких типовых способов обфускации, как автораспаковка и динамическая генерация кода. Технология автоматической распаковки позволяет вирусописателю вносить незначительные изменения в процедуру сжатия или шифрования, чтобы обойти антивирусные сканеры. Фрагментация рабочего цикла программы с поэтапной расшифровкой составляющих кода затрудняет его анализ, так как каждый сегмент вызывается в строгой очередности и, отработав, вновь подвергается шифрованию. Однако на сей раз немудрящие механизмы самозащиты были реализованы в среде GPU, что серьезно повысило их шансы на успех.

Современные графические процессоры (GPU) обладают высоким быстродействием и умеют выполнять многие из тех задач, которые до недавнего времени были исключительной привилегией ЦП. Благодаря конвейерной архитектуре и ограниченному набору команд GPU способны с большой эффективностью производить ресурсоемкие вычисления, разгружая ЦП, работающие с ними в одной упряжке. Объединенной команде исследователей удалось доказать, что перенос функции самораспаковки исполняемого кода на GPU позволит злоумышленникам применять сложные схемы шифрования, не беспокоясь о таких внешних проявлениях, как снижение производительности ЦП. Кроме того, при таком разделении труда длину кода, подлежащего исполнению в среде x86, можно значительно сократить, чтобы после распаковки и записи в память он затерялся среди стандартных файлов.

Включение GPU в процесс динамической генерации исполняемого кода также продемонстрировало высокую эффективность, так как позволяет хранить все ключи шифрования в памяти графического процессора, недоступной для ЦП. Зашифрованные фрагменты кода при этом содержатся в области, совместно используемой GPU и ЦП, поэтому процесс расшифровки и повторного шифрования при прогоне программы сопровождается интенсивным обменом между устройствами. Каждый фрагмент кода после отработки зашифровывается произвольным ключом, поэтому сам зловред постоянно видоизменяется самым непредсказуемым образом.

Прототип ориентирован на GPU, совместимые с архитектурой CUDA, и в октябре будет представлен на 5-й международной конференции IEEE по интернет-угрозам (Malware 2010). По мнению экспертов ЛК, адекватной защитой от кибератак с использованием аналогичных инструментов являются HIPS. Однако разработчики РоС зловреда предупреждают, что рост популярности GPU как ускорителей специфических вычислений не пройдет незамеченным в криминальной среде. Вполне вероятно, что в скором времени злоумышленники начнут использовать их, например, для взлома паролей и ключей шифрования.

Источник:

http://www.securelist.com/ru

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

Хм.... Отличная идея, кстатиговоря...:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skorpion

Группа исследователей (вирусологов из АВ-компаний) пишет вирус и создает новый концепт его внедрения. Здорово! Вы до сих пор думаете, что Ав-компаниям не выгодно создавать вирусы? :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

В статье ни слова про то, что это были вирусологи.. Где Вы такое нашли то? Снова бредни начались...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skorpion
В статье ни слова про то, что это были вирусологи.. Где Вы такое нашли то? Снова бредни начались...

Исследователи вирусные - это фрилэнсеры что ли? Пишут вирусы на заказ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Исследователи вирусные - это фрилэнсеры что ли? Пишут вирусы на заказ?

Это не вирус, а прототип. Перечитайте текст внимательно...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skorpion
Это не вирус, а прототип. Перечитайте текст внимательно...

А в чем разница?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

Гугл в помощь...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×