ZeRO и No-FAT: аппаратная защита памяти без потери производительности

Олег Иванов 24 Июня 2021 - 16:01

...

ZeRO и No-FAT: аппаратная защита памяти без потери производительности

Исследователи из Колумбийского университета предложили два новаторских способа обеспечения безопасности по памяти аппаратными средствами. Оба метода можно реализовать, слегка изменив микроархитектуру. Тестирование показало, что при подходе No-FAT снижение производительности незначительно — около 8%; в случае ZeRØ потери равны нулю.

Безопасность доступа к памяти — давняя проблема, о которой каждый раз вспоминают при появлении серьезных угроз. За сорок лет было предложено множество различных решений, но они либо плохо работали, либо требовали жертв. Меры противодействия эксплойту Spectre и Meltdown, например, повлекли падение производительности — в среднем на 20%, в отдельных случаях в два раза. Кроме того, с появлением новых угроз используемая защита может потерять свою эффективность, и специалистам придется искать альтернативные решения.

Согласно описанию ZeRØ (PDF), этот механизм позволяет обеспечить защиту кода и указателей системы, притом без поражения в производительности. Его реализация предполагает замену инструкций обращения к памяти и схемы кодирования метаданных — по словам авторов проекта, эти изменения можно привнести в современные процессоры без особого труда. Университетские исследователи предлагают использовать ZeRØ в дополнение к средствам противодействия атакам на память.

Техника No-FAT (PDF) была разработана с прицелом на снижение потребления ресурсов при проверках безопасности по памяти. С этой целью авторы исследования предложили использовать группировку распределителей памяти (memory allocator binning) — набрающий популярность метод, который позволяет ускорить вычисление начального адреса и размера участка памяти, выделенного под указатель, притом выполнять это во время доступа к данным.

Применение No-FAT, по словам разработчиков, снимает многие проблемы, свойственные традиционным подходам, — такие как совместимость с незащищенным софтом и заметное падение производительности. Прогон тестов SPEC CPU2017 показал, что при новом способе защиты памяти быстродействие снижается примерно на 8%.

Среди прочих достоинств создатели No-FAT особо отметили надежную защиту от некоторых видов Spectre-атак. Их метод также позволяет значительно ускорить фаззинг при поиске уязвимостей, автоматическую очистку памяти, улучшить предсказуемость предвыборки данных и работы контроллеров DRAM.

Финансирование проектов ZeRØ и No-FAT частично осуществлялось за счет грантов, полученных от ВМС и ВВС США, а также целевой дотации Qualcomm. Спецподразделение ВВС уже работает над созданием чипов с новой встроенной защитой.

Следующая главная новость »

Защита мобильных приложений: где бизнес теряет данные?
Регистрируйтесь на эфир!

Екатерина Быстрова 19 Мая 2026 - 17:08

macOS Трояны Домашние пользователи

Стилер Reaper обходит защиту Apple и крадёт данные пользователей macOS

Исследователи из SentinelOne описали новую версию macOS-стилера SHub под названием Reaper. Зловред маскируется под Apple, Microsoft и Google, а после заражения начинает методично искать пароли, данные менеджеров паролей и криптокошельки вроде MetaMask и Phantom. Reaper интересен не только тем, что ворует всё плохо прикрученное, он ещё и обходит свежие защитные меры Apple.

Ранние версии SHub и похожие кампании часто использовали схему ClickFix: пользователя убеждали вставить команду в Терминале.

Но Reaper идёт другим путём — использует macOS Script Editor с уже подготовленным вредоносным пейлоадом. Терминал не нужен, а значит, часть защит, добавленных Apple в Tahoe 26.4, просто остаётся в стороне.

Атака начинается с фейковых сайтов установщиков WeChat и Miro. Для правдоподобия используется домен, похожий на Microsoft: mlcrosoft[.]co[.]com. Да, классика жанра: буква не та, пользователь не заметил.

Когда жертва заходит на такой сайт, скрытый JavaScript собирает данные о системе и браузере: IP-адрес, геолокацию, WebGL-отпечаток, признаки виртуальной машины или VPN. Если пользователь находится в России, атака прекращается.

Если цель подходит, сайт открывает Apple Script Editor через хитрую ссылку. Окно набито ASCII-артом и фальшивыми условиями, чтобы вредоносная команда оказалась далеко ниже видимой части. Пользователь видит что-то похожее на скучный технический текст, нажимает Run и сам запускает зловред.

После этого Reaper показывает всплывающее окно якобы с обновлением Apple XProtectRemediator. На деле через curl скачивается шелл-скрипт, а пользователя просят ввести данные для входа. Эти данные затем используются для расшифровки учётных данных. В финале жертве показывают фейковую ошибку, только вот пароли уже уехали.

Reaper наследует возможности старых SHub-версий: сбор данных браузеров, криптокошельков, конфигураций разработчика, macOS Keychain, iCloud и Telegram-сессий. Но теперь к этому добавился filegrabber, который ищет на рабочем столе и в папке «Документы» файлы с деловой или финансовой информацией.

Отдельно зловред охотится за настольными криптокошельками: Exodus, Atomic Wallet, Ledger Wallet, Ledger Live и Trezor Suite. Если находит, внедряет туда вредоносный код, чтобы продолжать воровать средства и после первичного заражения.

Для закрепления в системе Reaper создаёт структуру, похожую на Google Software Update: ~/Library/Application Support/Google/GoogleUpdate.app/Contents/MacOS/. Затем LaunchAgent запускает скрипт GoogleUpdate каждые 60 секунд. Он отправляет данные о системе на C2-сервер и может получать команды для удалённого выполнения кода.

Защита мобильных приложений: где бизнес теряет данные?
Регистрируйтесь на эфир!