Управление перспективных исследовательских проектов Министерства обороны США намерено разработать специальные инструменты для нейтрализации компьютерных вирусов: их будут отслеживать и оценивать в реальном времени. Пентагон реализовывает проект на фоне последних крупных кибератак — вирусов WannaCry и Petya, распространению которых косвенно могло способствовать АНБ.
Управление перспективных исследовательских проектов Министерства обороны США (DARPA) опубликовало контракт на разработку инструментов для отслеживания и нейтрализации вирусов в корпоративных сетях и на просторах глобальной сети.
«DARPA рассматривает инновационные исследовательские предложения в области нейтрализации киберугроз на основе данных с целью обнаружения и определения угроз кибербезопасности и защиты сетей в масштабе организации или предприятия», — сообщается в документе.
Инструменты для устранения вирусов планируется разрабатывать на основе данных в компьютерных сетях американских предприятий. В рамках проекта исполнители тендера будут писать такие алгоритмы, которые позволят быстро вычислять вирус в большом объёме информации, хранящейся в корпоративных базах данных,
Сейчас по причине чрезвычайно большого количества информации, которая хранится на серверах компаний, быстро обнаружить вирус очень сложно. Однако разработка технологий по «кибернейтрализации» осуществляется не только для коммерческих предприятий.
«Приоритетом программы является внедрение технологий профилактики киберугроз CHASE. В числе партнёров могут быть такие ведомства и организации, как Киберкомандование США, бригады киберзащиты Министерства обороны, Управление информационного обеспечения Министерства обороны США, Министерство внутренней безопасности США», — говорится в тендере.
В рамках проекта планируется создать инструменты, которые будут отслеживать кибервирусы по всему миру. Разработчики должны создать индикаторы глобальной вирусной активности и определить, какие данные нужны для их обнаружения.
«Авторам предлагается создать индикаторы глобальной активности и описать параметры, необходимые для выявления угроз. Индикаторы должны формировать понимание глобальной ситуации и выявлять происходящие в мире процессы, которые в противном случае остались бы незамеченными на местном уровне», — отмечается в документе.
Также агентство предлагает обмениваться данными между компьютерными сетями для выяснения, «являются ли местные аномалии указанием на глобальные атаки».
Агентство обосновало необходимость разработки новых инструментов киберохоты тем, что существующие методики, стоящие на вооружении у США, «не могут выявлять новые векторы атак и обнаруживать скоординированные нападения». Как сообщается в документе, Пентагон будет реализовывать проект в течение ближайших четырёх лет.
Примечательно, что в обязанности исполнителей контракта входит подготовка сценариев для отработки охоты на вирусы в глобальной сети на основе реальных операций США в сети.
«В отрабатываемых сценариях могут быть задействованы группы, имитирующие условного противника, и аналитики по вопросам защиты в киберпространстве. Сценарии будут включать в себя аспекты реальных киберопераций», — говорится в документе.
Как отмечается в тендере, программа будет реализована в три этапа. На первом основное внимание будет уделяться разработке и демонстрации отдельных технологических компонентов. Затем специалисты проведут оценку разработанной технологии, а в завершение инструменты по отслеживанию вирусов будут адаптированы для военных нужд США и американских федеральных ведомств. На запрос RT о деталях программы Управление перспективных исследовательских проектов Министерства обороны США оперативного комментария не предоставило.
Petya разбушевался
Ранее вирус Petya атаковал нефтяные, телекоммуникационные и финансовые компании России и Украины. Вирус блокировал компьютеры и требовал $300 в биткоинах. Как сообщал ранее RT, по информации Федерального управления по информационной безопасности Германии и департамента киберполиции Украины, впервые вирус был запущен на Украине.
При этом бывший сотрудник американского Агентства нацбезопасности Эдвард Сноуден написал в своём аккаунте в Twitter: «Если вы журналист и пишете на эту тему, помните, что этот сетевой червь распространяется из-за уязвимости, которую АНБ не устраняло годами».
Также, ранее Сноуден заявлял, что за появление вируса WannaCry, который в мае вывел из строя около 200 тыс. компьютеров по всему миру, косвенно несёт ответственность Агентство национальной безопасности США. Схожего мнения придерживается и президент Microsoft Брэд Смит, который отметил, что злоумышленники использовали разработки АНБ, которые ранее были опубликованы в сети.
Причастность американских спецслужб к распространению вируса подтвердили и в Москве. После атаки вируса WannaCry президент России Владимир Путин отметил, что источником вируса являются спецслужбы Соединённых Штатов. Глава государства напомнил, что в 2016 году Москва поднимала перед Вашингтоном вопрос кибербезопасности для заключения межправительственного соглашения, однако США не пошли на этот шаг.
В пятницу глава МИД РФ Сергей Лавров, выступая на Примаковских чтениях в Москве, отметил, что российская сторона ожидает от западных коллег ответа на свои предложения в сфере кибербезопасности.
«Особую тревогу вызывает масштабный рост киберпреступности, участившиеся использование информационных и коммуникационных технологий в целях оказания воздействия на общественно-политическую и социально-экономическую обстановку, в целях манипулирования общественным сознанием ради достижения и решения узкокорыстных задач», — заявил дипломат. — Не менее опасна пропаганда в киберпространстве идей экстремизма, вербовка граждан в ряды международных террористических организаций».
Исследователь Кристофер Домас опубликовал PoC-проект skitter-creek-bath-salts, демонстрирующий обход аппаратной защиты памяти на процессорах AMD Family 16h. Техника манипулирует настройками контроллера DRAM и позволяет обращаться к областям, которые должны быть недоступны даже операционной системе, ядру и коду с привилегиями ring 0.
Обычно программные и аппаратные механизмы контролируют доступ по физическим адресам.
Но последнюю точку в маршруте ставит контроллер памяти: он переводит адрес в конкретные координаты DRAM — канал, ранг, банк, строку и столбец.
Домас показал, что изменение одного регистра может перенастроить это преобразование уже после срабатывания вышестоящих средств защиты. В результате появляется альтернативный адрес, ведущий к тем же ячейкам DRAM. Охраняемый вход остаётся заперт, но контроллер внезапно рисует вторую дверь прямо в стене.
Чтобы система не рухнула, PoC отключает прерывания, подготавливает кеш и таблицы трансляции, ненадолго меняет схему адресации, читает или записывает нужные данные, а затем возвращает исходные настройки.
Для поиска адресов-двойников проект использует линейную алгебру и SMT-решатель Z3. Инструменты восстанавливают связь между обычным и изменённым отображением памяти, после чего вычисляют алиас для защищённой области.
Исследователь продемонстрировал потенциальный доступ к памяти AMD Platform Security Processor, включая данные fTPM, защищённой области System Management Mode, состояниям процессора C6 и хранилищу микрокода. Последний сценарий допускает не только извлечение копии патча, но и её возможное изменение перед восстановлением состояния ядра.
PoC проверяли только на AMD Family 16h. Данных об аналогичной уязвимости в новых AMD, Intel, ARM или RISC-V нет.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
