Вымогатель Hive научился шифровать системы Linux и FreeBSD (пока с багами)

Вымогатель Hive научился шифровать системы Linux и FreeBSD (пока с багами)

Вымогатель Hive научился шифровать системы Linux и FreeBSD (пока с багами)

Авторы программы-вымогателя Hive научили своё детище шифровать системы Linux и FreeBSD. Интересно, что специально для этих платформ киберпреступники создали отдельные образцы вредоносной программы. О новых семплах рассказали специалисты ESET.

Как отметили исследователи, новые версии Hive всё ещё находятся в стадии разработки, поэтому часть их функциональных возможностей на сегодняшний день под вопросом. Например, анализ ESET показал, что заточенные под Linux образцы содержат множество багов.

Если такой семпл запустится с прямым путём, до шифрования файлов дело не дойдёт, потому что зловред тут же завершит работу. Для сравнения можно отметить, что Windows-версия Hive содержит целых пять опций запуска и может «прибить» процессы, пропустить неинтересные файлы и т. д.

Кроме того, атакующие Linux образцы программы-вымогателя не могут запустить шифрование без root-прав, поскольку вредонос пытается скопировать записку с выкупом в корневую файловую систему.

«Как и версии вредоноса для Windows, обнаруженные образцы написаны на языке Golang. При этом строки, имена пакетов и функций обфусцированы (предположительно, с помощью gobfuscate)», — пишет ESET.

 

Операторы Hive активны как минимум с июня 2021 года, за это время шифровальщик успел поразить более 30 организаций. Причём злоумышленники считают только тех жертв, которые отказались платить выкуп.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Вектор атаки TEE.Fail ломает доверенные среды CPU от Intel, AMD, NVIDIA

Исследователи из Технологического института Джорджии и Университета Пердью рассказали о новой атаке под названием TEE.Fail, с помощью которой им удалось извлечь секретные ключи из доверенной среды выполнения (TEE) — того самого «защищённого уголка» процессора, где хранятся самые конфиденциальные данные.

Речь идёт о таких технологиях, как Intel SGX и TDX, а также AMD SEV-SNP. Они используются для так называемых «доверенных вычислений», где данные и код изолированы от операционной системы, чтобы даже взломанный сервер не смог добраться до них.

Но, как выяснилось, в современных процессорах с памятью DDR5 защита уже не такая надёжная. В погоне за скоростью и масштабируемостью производители убрали часть механизмов контроля целостности памяти и оставили только шифрование AES-XTS. А это оказалось слабым местом.

Учёные придумали (PDF) изящный способ — врезаться в шину памяти с помощью промежуточного адаптера (интерпозера) и снимать зашифрованный трафик между оперативкой и процессором. Всё оборудование для эксперимента обошлось меньше чем в $1000, так что, по словам исследователей, повторить атаку смог бы и «продвинутый энтузиаст».

 

Эксперимент показал, что шифрование в DDR5 детерминированное — то есть одни и те же данные превращаются в один и тот же шифротекст. Это позволило исследователям сопоставить зашифрованные блоки с реальными значениями, а дальше — восстановить закрытые ключи, с помощью которых можно выдавать себя за доверенные среды SGX/TDX или SEV-SNP.

 

С помощью TEE.Fail команда смогла:

  • Подделывать TDX-аттестации в блокчейне Ethereum BuilderNet и получать доступ к конфиденциальным данным.
  • Имитировать Intel и NVIDIA TEE, чтобы запускать код вне защищённой среды, но с видимостью легитимности.
  • Извлекать закрытые ключи ECDH прямо из анклав и полностью компрометировать систему.

Для атаки всё же нужны права администратора и физический доступ к серверу, так что массовой угрозой TEE.Fail назвать нельзя. Однако исследование показывает, что современные TEE уже не так надёжны, как считалось ранее, особенно в серверных системах с DDR5.

Исследователи сообщили о проблеме Intel — в апреле, NVIDIA — в июне, AMD — в августе. Все компании пообещали устранить брешь.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru