Уязвимость Reptar в процессорах Intel затрагивает серверы и десктопы

Уязвимость Reptar в процессорах Intel затрагивает серверы и десктопы

Уязвимость Reptar в процессорах Intel затрагивает серверы и десктопы

Intel устранила опасную уязвимость в линейках процессоров, установленных на современных десктопах, серверах и мобильных устройствах, а также во встроенных CPU. Среди затронутых архитектур — Alder Lake, Raptor Lake и Sapphire Rapids.

Проблема отслеживается под идентификатором CVE-2023-23583 и представляет собой баг избыточного префикса. С её помощью злоумышленники могут повысить права в системе, получить доступ к конфиденциальным данным или вызвать DoS.

«Мы выявили случаи, когда при определённых микроархитектурных условиях выполнение инструкции (REP MOVSB), зашифрованной с избыточным REX-префиксом, может привести к сбоям в работе системы или зависаниям», — объясняет Intel.

«Ряд сценариев эксплуатации этого поведения допускает повышение прав с уровня CPL3 до CPL0. Для использования этого бага злоумышленнику придётся выполнить вредоносный код».

Линейки Alder Lake, Raptor Lake и Sapphire Rapids уже успели получить патчи, причём, согласно тестам Intel, они не влияют на производительность. Полный список затронутых CPU доступен по этой ссылке.

Как отметил специалист Тэвис Орманди, уязвимость CVE-2023-23583 также выявила команда Google Information Security Engineering. Ей даже дали забавное имя — Reptar (видимо, в честь вымышленного персонажа из анимационного сериала «Ох уж эти детки!»).

Вице-президент Google Cloud и директор по ИБ Фил Венейблс также объяснил, что уязвимость связана с интерпретацией избыточных префиксов со стороны процессора. В случае эксплуатации, по словам Венейблса, этот баг приводит к обходу защитных границ CPU.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru