Google и Microsoft открыли новый вариант атаки Spectre

Олег Иванов 22 Мая 2018 - 10:16

...

Специалисты компаний Google и Microsoft обнаружили новую уязвимость в процессорах AMD, ARM, IBM и Intel, которая позволяет совершить атаку типа Spectre. Слухи об этой бреши появились еще в начале месяца, однако только сейчас стали известны детали недостатка.

В свою очередь, AMD, ARM, Intel, Microsoft и Red Hat опубликовали официальные сообщения, в которых содержатся объяснения принципа работы багов, а также рассматриваются способы снижения риска эксплуатации.

Новая уязвимость получила имя SpectreNG, она, безусловно, связана с обнаруженными в начале этого года Meltdown и Spectre. Новую брешь исследователи Google и Microsoft обнаружили самостоятельно. Также два новых варианта атаки были классифицированы как «variant 3a» и «variant 4».

Полная классификация в хронологическом порядке:

Variant 1: обход проверки границы (CVE-2017-5753) она же Spectre v1;
Variant 2: инъекция в ветку (CVE-2017-5715) она же Spectre v2;
Variant 3: вредоносная загрузка кеша данных (CVE-2017-5754) она же Meltdown;
Variant 3a: злонамеренное считывание системного реестра (CVE-2018-3640);
Variant 4: обход спекулятивных ячеек памяти (CVE-2018-3639).

Самым грозным на данный момент специалисты считают Variant 4. Ошибка возникает из-за спекулятивного исполнения — функции, обнаруженной во всех современных процессорах. Эта функция позволяет повысить производительность за счет вычислений и последующего отказа от ненужных данных.

Red Hat опубликовала на YouTube видео, в котором объясняется, как ошибка влияет на современные процессоры.

«Успешно проэксплуатировавший эту брешь злоумышленник сможет читать данные, доступ к которым можно получить только с высокими привилегиями в системе», — пишет Microsoft по поводу этого бага.

Эксперт Google Дженн Хорн (Jann Horn), обнаруживший Meltdown и Spectre, опубликовал PoC-код, доказывающий наличие эксплуатируемой бреши. Корпорация Intel опубликовала подробный список затронутых процессоров.

Variant 4 можно использовать с помощью кода JavaScript, запускаемого в браузере, хотя Microsoft заявила, что в реальных атаках эксплуатация этого бага пока замечена не была.

Следующая главная новость »

Контейнеризация 2026: чем российские решения отличаются на практике? Регистрируйтесь на эфир!

Екатерина Быстрова 19 Февраля 2026 - 22:03

Android Трояны Домашние пользователи Eset

Обнаружен первый Android-троян, которым управляют через Gemini

Исследователи из антивирусной компании ESET обнаружили первый Android-зловред, который использует Google Gemini не просто как вспомогательный инструмент, а прямо в процессе выполнения атаки. Новый троян получил название PromptSpy.

Главная особенность PromptSpy в том, что он привлекает генеративный ИИ для навигации по интерфейсу смартфона и закрепления в системе.

Зловред отправляет Gemini XML-дамп текущего экрана с описанием всех элементов интерфейса: текста, типа кнопок и их расположения. В ответ модель выдаёт пошаговые инструкции в формате JSON, куда нажать и что сделать дальше.

Таким образом троянец добивается того, чтобы его приложение оставалось «закреплённым» в списке недавних приложений и его нельзя было просто закрыто свайпом. Такой подход делает вредонос более универсальным, поскольку он может адаптироваться к разным версиям Android, оболочкам и размерам экранов без жёстко прописанных координат.

После закрепления PromptSpy разворачивает встроенный VNC-модуль и получает полноценный удалённый доступ к устройству. Он умеет перехватывать ПИН-код и пароль экрана блокировки, записывать видео с экрана, делать скриншоты и собирать информацию об устройстве.

Для взаимодействия используется сервер управления с жёстко прописанным IP-адресом, а доступ к Gemini осуществляется через API-ключ, который троян получает с сервера.

Для маскировки и защиты от удаления зловред активно использует службы доступности Android. Он накладывает невидимые оверлеи поверх интерфейса, из-за чего стандартная попытка удалить приложение оказывается бесполезной. Единственный способ избавиться от него — перезагрузить устройство в безопасном режиме и удалить программу там.

По данным ESET, кампания носит финансовый характер. PromptSpy распространяется через отдельный сайт, не связанный с Google Play. Жертвам предлагают установить «обновление» под видом приложения MorganArg (имитация JPMorgan Chase Argentina). После установки дроппер запрашивает разрешение на установку приложений из неизвестных источников и подтягивает основной зловред.

Интересно, что в коде обнаружены строки отладки на упрощённом китайском языке, что может указывать на китайскоязычную среду разработки. PromptSpy считается более продвинутой версией другого Android-зловреда — VNCSpy, образцы которого появились в VirusTotal в прошлом месяце.

Контейнеризация 2026: чем российские решения отличаются на практике? Регистрируйтесь на эфир!