На GitHub выложили PoC-код, обходящий защитную функцию ядра Windows

На GitHub выложили PoC-код, обходящий защитную функцию ядра Windows

На GitHub выложили PoC-код, обходящий защитную функцию ядра Windows

Исследователь в области кибербезопасности выявил баг в функции Windows — Kernel Patch Protection (KPP), ранее известной как PatchGuard. С помощью уязвимости злоумышленник может загрузить неподписанный вредоносный код в ядро операционной системы.

Напомним, что KPP пришла в мир Windows с выпуском 64-битных версий Windows XP Professional и Windows Server 2003 (2005 год). С тех пор функция считается ключевым звеном безопасности операционной системы от Microsoft, а её основная задача — не допустить патчинг ядра ОС.

Брешь в Kernel Patch Protection обнаружил японский специалист Кенто Оки, по словам которого баг до сих пор не получил патч. Более того, Оки рассказал, что Microsoft ранее проигнорировала три похожие уязвимости, позволяющие обойти KPP, именно поэтому он не стал уведомлять корпорацию из Редмонда о проблеме.

Скорее  всего, специалист имеет в виду техники вроде GhostHook, InfinityHook и ByePg, о которых стало известно в 2017 и 2019 годах. Они тоже позволяют запустить вредоносный код.

Кенто Оки, описавший свой метод обхода Kernel Patch Protection в блоге, также разместил код демонстрационного эксплойта (proof-of-concept — PoC) на GitHub.

К счастью, PoC-код Оки нельзя назвать опасным, поскольку он приводит лишь к сбою в работе операционной системы. Тем не менее всё ещё остаётся риск создания боевого эксплойта, с помощью которого киберпреступники будут запускать свой код в реальных атаках.

Диспетчер задач Windows 11 научился вычислять пожирателей NPU

Microsoft расширила функциональность Диспетчера задач Windows 11 новыми инструментами для контроля ИИ-нагрузки. Теперь пользователи смогут увидеть не только общую активность нейропроцессора, но и конкретные приложения, которые занимают NPU и расходуют его память.

На страницах «Процессы», «Пользователи» и «Подробности» появились необязательные столбцы NPU и NPU Engine.

В разделе «Подробности» также можно включить показатели выделенной и общей памяти нейропроцессора. Это поможет выяснить, какое приложение действительно запускает локальный ИИ, а какое просто громко пишет об этом в рекламе.

Нейронные блоки, встроенные в GPU, теперь отображаются на странице «Производительность». Если программа использует специализированный ускоритель видеокарты, Диспетчер задач покажет GPU — Neural. Работа через NPU может обозначаться как NPU — Compute или NPU — Neural — название зависит от процессора и драйвера.

Новые метрики позволяют быстро заметить плохо оптимизированные приложения. Если программа активно жарит CPU, а NPU простаивает и отметка GPU — Neural отсутствует, значит, ИИ-задача, вероятно, выполняется программно. Результат предсказуем: ниже скорость, выше энергопотребление и перегревшийся ноутбук.

Дополнительно Microsoft добавила столбец Isolation. Он показывает, какие приложения запущены в изолированной среде AppContainer.

Все новые показатели скрыты по умолчанию. Включить их можно щелчком правой кнопки мыши по заголовкам таблицы. Изменения описаны в официальном обновлении Windows 11.

RSS: Новости на портале Anti-Malware.ru