Найден способ скрыть вредоносный код с помощью спекулятивного выполнения

Найден способ скрыть вредоносный код с помощью спекулятивного выполнения

Команда ученых из Колорадского университета в Боулдере нашла способ скрыть деятельность вредоносной составляющей, используя процесс «спекулятивного выполнения». Напомним, что эта функция CPU ответственна за появление двух крайне серьезных уязвимостей — Meltdown и Spectre.

Техника «спекулятивного выполнения» представляет собой функцию современных процессоров, которая помогает улучшить быстродействие и производительность. Для этого заранее открываются специальные потоки, а затем из этих потоков выбирается тот, который нужен определенному приложению.

Именно на использовании такого механизма были завязаны бреши Meltdown и Spectre. Злоумышленники нашли способ извлекать данные из потоков спекулятивного выполнения.

Однако на этой неделе специалисты, выступающие на конференции NDSS 2019, посвященной безопасности, открыли еще один метод использования спекулятивного выполнения.

На этот эксперты рассказали, что в этих потоках можно спрятать вредоносные команды. Эта техника получила имя ExSpectre.

Атака подразумевает, что злоумышленник должен создать вполне безопасное приложение, состоящее из бинарников, которое жертва установит на своем компьютере. Это поможет успокоить пользователя, а также избежать детектирования антивирусными продуктами.

На деле же эти бинарные файлы могут быть сконфигурированы «на лету» таким образом, что запустят потоки спекулятивного выполнения, которые смогут заставить это безобидное приложение выполнить вредоносные команды.

«Мы использовали библиотеку OpenSSL в качестве триггера для активации вредоносного пейлоада. Так инициировались подключения к зараженному серверу OpenSSL через TLS-соединение», — объясняют специалисты в опубликованном отчете «ExSpectre: Hiding Malware in Speculative Execution».

В других примерах ученые использовали технику ExSpectre для расшифровки зашифрованной памяти и даже для манипулирования отдельными приложениями. Специалистам удалось добиться возможности выполнения команд на зараженном компьютере.

В этом месяце исследователи Google в области безопасности проанализировали воздействие уязвимостей типа Spectre на современные процессоры. В итоге эксперты пришли к выводу, что программные решения не смогут предотвратить эксплуатацию такого рода дыр.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Хакеры проникают в смартфоны Xiaomi и подделывают платежи

В моделях Xiaomi Redmi Note 9T и Redmi Note 11 обнаружены уязвимости, с помощью которых можно “вырубить” мобильные платежи и подделать транзакции. В устройство аферисты проникают через мошенническое приложение для Android.

О недостатках в телефонах на базе MediaTek сообщили в отчете специалисты Check Point. По версии компании, “дыру” нашли в надежной среде выполнения (TEE) китайского производителя телефонов.

TEE относится к безопасной области внутри главного процессора. Она гарантирует, что код и загруженные данные будут защищены с точки зрения конфиденциальности и целостности.

Израильская компания обнаружила, что приложение на устройстве Xiaomi может быть скомпрометировано. Это позволяет злоумышленнику заменить новую безопасную версию приложения старой уязвимой (даунгрейд).

“Злоумышленник может обойти обновления безопасности Xiaomi или MediaTek для проверенных приложений, понизив их до непропатченных версий”, — говорит исследователь из Check Point Слава Маккавеев.

 

Уязвимости нашли и в “thhadmin”, легитимном приложении, отвечающим за управление безопасностью. С их помощью вредоносная программа собирает сохраненные ключи и может сама управлять приложением.

“Мы обнаружили уязвимости, которые позволяют подделывать платежи или отключать платежную систему напрямую из приложения для Android”, — уточняет Маккавеев.

Цель хакеров — проникнуть в разработки Xiaomi и управлять сервисом Tencent Soter, который служит базой при авторизации транзакций для WeChat и Alipay.

Это еще не все. Check Point обнаружили, что вредоносный код может извлекать закрытые ключи для подписи платежных поручений. Уязвимость полностью компрометирует платформу Tencent Soter, говорят исследователи.

Xiaomi в июне выпустила патчи для устранения уязвимости CVE-2020-14125. Загруженные обновления должны закрывать “дыру”, добавляют в Check Point.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru