Перейти к содержанию
Danilka

GPU — новый помощник вирусописателей?

Recommended Posts

Danilka

Группа исследователей из Греции и США создала прототип вредоносной программы, которая для усиления самозащиты использует возможности графического процессора, взаимодействующего с ЦП.

Концептуальный образец зловреда был разработан с применением таких типовых способов обфускации, как автораспаковка и динамическая генерация кода. Технология автоматической распаковки позволяет вирусописателю вносить незначительные изменения в процедуру сжатия или шифрования, чтобы обойти антивирусные сканеры. Фрагментация рабочего цикла программы с поэтапной расшифровкой составляющих кода затрудняет его анализ, так как каждый сегмент вызывается в строгой очередности и, отработав, вновь подвергается шифрованию. Однако на сей раз немудрящие механизмы самозащиты были реализованы в среде GPU, что серьезно повысило их шансы на успех.

Современные графические процессоры (GPU) обладают высоким быстродействием и умеют выполнять многие из тех задач, которые до недавнего времени были исключительной привилегией ЦП. Благодаря конвейерной архитектуре и ограниченному набору команд GPU способны с большой эффективностью производить ресурсоемкие вычисления, разгружая ЦП, работающие с ними в одной упряжке. Объединенной команде исследователей удалось доказать, что перенос функции самораспаковки исполняемого кода на GPU позволит злоумышленникам применять сложные схемы шифрования, не беспокоясь о таких внешних проявлениях, как снижение производительности ЦП. Кроме того, при таком разделении труда длину кода, подлежащего исполнению в среде x86, можно значительно сократить, чтобы после распаковки и записи в память он затерялся среди стандартных файлов.

Включение GPU в процесс динамической генерации исполняемого кода также продемонстрировало высокую эффективность, так как позволяет хранить все ключи шифрования в памяти графического процессора, недоступной для ЦП. Зашифрованные фрагменты кода при этом содержатся в области, совместно используемой GPU и ЦП, поэтому процесс расшифровки и повторного шифрования при прогоне программы сопровождается интенсивным обменом между устройствами. Каждый фрагмент кода после отработки зашифровывается произвольным ключом, поэтому сам зловред постоянно видоизменяется самым непредсказуемым образом.

Прототип ориентирован на GPU, совместимые с архитектурой CUDA, и в октябре будет представлен на 5-й международной конференции IEEE по интернет-угрозам (Malware 2010). По мнению экспертов ЛК, адекватной защитой от кибератак с использованием аналогичных инструментов являются HIPS. Однако разработчики РоС зловреда предупреждают, что рост популярности GPU как ускорителей специфических вычислений не пройдет незамеченным в криминальной среде. Вполне вероятно, что в скором времени злоумышленники начнут использовать их, например, для взлома паролей и ключей шифрования.

Источник:

http://www.securelist.com/ru

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

Хм.... Отличная идея, кстатиговоря...:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skorpion

Группа исследователей (вирусологов из АВ-компаний) пишет вирус и создает новый концепт его внедрения. Здорово! Вы до сих пор думаете, что Ав-компаниям не выгодно создавать вирусы? :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

В статье ни слова про то, что это были вирусологи.. Где Вы такое нашли то? Снова бредни начались...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skorpion
В статье ни слова про то, что это были вирусологи.. Где Вы такое нашли то? Снова бредни начались...

Исследователи вирусные - это фрилэнсеры что ли? Пишут вирусы на заказ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Исследователи вирусные - это фрилэнсеры что ли? Пишут вирусы на заказ?

Это не вирус, а прототип. Перечитайте текст внимательно...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skorpion
Это не вирус, а прототип. Перечитайте текст внимательно...

А в чем разница?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • IThook
      Всем привет)
      Есть сайт, для связи с клиентами используем чат-платформу Talk me. Боты создают огромное количество чатов, у всех одни и те же параметры - РФ айпи, браузер и ОС Windows 10 Chrome 88.4324, почта домена @yandex.ru, разрешение окна 1034х400 (примерное). На скрине примерный такой пользователь -
      https://prnt.sc/1099ayt
      . Пишут 1 сообщение, далее выходят с сайта.
      Выгрузили базу - айпи адреса не повторяются, скорее всего большое количество проксей. Поставил капчу на создание чата, потом защиту на дурака с выбором ответа -
      https://prnt.sc/10996nv
      . Капчу обходили сразу, скорее всего сессию сохраняли, а вот защиту на дурака не проходят до сих пор.
      Стоит защита от ботов, защита траффика по популярным VPN ( сервис Безопасность и развитие ваших web-ресурсов )
      Основная догадка - скорее всего через Silenum атака происходит, потому что полный игнор защиты происходит от ботов.
      Вопрос - как защититься от ботов, чтобы они попадали на сайт, но не могли писать в чаты? Следующий уровень - боты не могли попасть на сайт. Как защититься от Silenum?
    • santy
      проверка по хэшу отдельного файла (из образа автозапуска)
    • demkd
      какая функция проверки конкретно? их там много
    • santy
    • demkd
×