Исследователи компании enSilo обнаружили новую технику обхода защитных мер уровня ядра в операционных системах Windows. Омри Мисгав и Уди Яво назвали новый способ Turning Tables, он использует таблицы страниц (page tables) Windows.
Таблицы страниц - это структура данных, она применяется не только в Windows, а во всех операционных системах, где используется хранение сопоставления между виртуальной и физической памятью.
Виртуальные адреса используются программой, выполняемой процессом ОС, а физические адреса используются аппаратными компонентами (ОЗУ-подсистемой).
Поскольку физическая память (ОЗУ) ограничена, операционные системы создают так называемые «общие страницы кода» («shared code pages»), где несколько процессов могут хранить один и тот же код и при необходимости обращаться к нему.
Мисгав и Яво утверждают, что их метод Turning Tables основан на разработке вредоносного кода, который негативно влияет на эти страницы. Это позволит также повлиять и на выполнение других процессов, часть из которых имеют повышенные привилегии.
Таким образом, Turning Tables может помочь злоумышленнику повысить свои права в системе до уровня SYSTEM.
Специалисты enSilo также подчеркивают, что эта техника может использоваться для изменения приложений, запущенных в песочнице. Например, с помощью атаки Turning Tables можно заразить браузер Chrome, который как раз выполняется в защищенной изолированной среде.
Более того, теоретически эту атаку можно успешно осуществить и на системах Linux и macOS, так как та же концепция таблиц страниц используется и там. Однако исследователи признались, что не проверяли Turning Tables в случае с этими двумя системами.
«Причина универсальности Turning Tables заключается в том, что этот метод основан на оптимизации, используемой практически всеми современными операционными системами», — отметила команда enSilo.
Главная отличительная особенность этого метода — он позволяет обойти все меры безопасности уровня ядра, которые Microsoft реализовала в своей ОС.
С документом исследователей можно ознакомиться по этой ссылке. Также было опубликовано видео, где Мисгав и Яво рассказывают о своем методе:
Государственные YouTube-каналы Беларуси, включая БЕЛТА, ОНТ и СТВ, 3 апреля были удалены с платформы. В белорусском Мининформе этот шаг оценили резко негативно и назвали его недружественным и безосновательным.
Об этом сообщило агентство БЕЛТА. Там же уточнили, что причиной названы санкции.
Ведомство заявило, что оставляет за собой право на ответные меры. БЕЛТА отдельно подчёркивает, что само агентство, по его версии, под санкциями не находится.
На этом фоне пользователям также посоветовали быть внимательнее: если на YouTube начнут появляться каналы с теми же названиями, это могут быть клоны. История уже вышла за рамки просто удаления страниц и быстро превращается ещё и в вопрос доверия к тому, что пользователи увидят вместо них.
Пока подробностей со стороны YouTube немного, но сама ситуация выглядит как очередной виток давления на государственные медиа Беларуси в зарубежных цифровых платформах.
Для аудитории это означает, что теперь придётся следить за тем, где появятся их новые площадки или зеркала.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
