Retbleed-эксплойт пробивает защиту — под угрозой AMD и облачные сервисы

Retbleed-эксплойт пробивает защиту — под угрозой AMD и облачные сервисы

Retbleed-эксплойт пробивает защиту — под угрозой AMD и облачные сервисы

Исследователи снова доказали: даже старая уязвимость может быть опасна, если к ней подойти с умом. Речь про Retbleed — баг в процессорах AMD (Zen и Zen 2), впервые описанный ещё в 2022 году. Теперь его получилось использовать для очень серьёзной атаки — через обычный, неподозрительный процесс можно считывать данные из памяти любых других процессов, включая виртуальные машины и хост-систему.

Retbleed использует особенности спекулятивного исполнения — это такой механизм, с помощью которого современные процессоры пытаются «предугадать» инструкции заранее, чтобы ускорить выполнение.

Проблема в том, что иногда эти предположения можно использовать против самого процессора. Через манипуляции с предсказателями переходов и хитрые трюки с кешем злоумышленник может вытянуть чужие данные из памяти — и даже из ядра.

 

Что показали исследователи?

  • Скорость утечки — примерно 13 КБ/с. Это немного, но достаточно, чтобы, например, просканировать список процессов на сервере, вытащить ключи шифрования или получить данные о виртуальных машинах.
  • Работает даже в песочнице. Исследователи запустили атаку изнутри Chrome, в обычной sandbox-среде, которая вроде бы должна ограничивать любые опасные действия.
  • Можно пробить из виртуалки наружу. Это, пожалуй, самая тревожная часть. Атака позволяет вытащить данные с хоста, даже если злоумышленник находится внутри скомпрометированной виртуальной машины. А если хост обслуживает сразу несколько клиентов, как в облаке, последствия могут быть критическими.

 

А что с защитой?

Плохая новость: Retbleed не чинится обновлением микрокода. Только программные заплатки. Хуже новость: они тормозят систему.

  • jmp2ret — 5–6% потери производительности.
  • IBPB (Indirect Branch Prediction Barrier) — до 55–60% в зависимости от нагрузки.

Очевидно, не все компании готовы терпеть такие просадки — особенно если речь о высоконагруженных сервисах или виртуализации.

Пока что рекомендация простая: если используете уязвимые AMD-процессоры — обязательно пересмотрите, включены ли у вас доступные защиты, и готовы ли вы пожертвовать производительностью ради безопасности.

Расследование ФБР показало, как офисный принтер может «донести» на вас

В США разворачивается история, больше похожая на шпионский сериал, чем на сухую сводку Минюста. И одну из ключевых ролей в ней сыграл офисный принтер. 9 января федеральные прокуроры предъявили обвинения Аурелио Луису Перес-Лугонесу — ИТ-специалисту подрядной компании, работавшей с государственными структурами.

Его обвиняют в незаконном хранении информации, связанной с национальной безопасностью. При этом речь не идёт о передаче секретных данных — по крайней мере, напрямую этого в материалах дела не утверждается.

Широкий резонанс история получила после того, как в рамках расследования агенты ФБР провели обыск у журналистки Washington Post Ханны Натансен. По данным Минюста, Перес-Лугонес переписывался с ней и обсуждал конфиденциальные темы. Натансен известна публикациями о влиянии администрации Дональда Трампа на федеральные ведомства.

Но самая неожиданная деталь всплыла в аффидевите (PDF) ФБР. Именно он показывает, каким образом следствие вышло на подозреваемого. Как утверждают правоохранители, Перес-Лугонес пытался вынести данные из SCIF — защищённого помещения для работы с секретной информацией — довольно хитрым способом.

Вместо прямой печати классифицированного отчёта он якобы делал скриншоты экрана, обрезал их и вставлял в документ Microsoft Word. Расчёт был простой: если печатается не секретный файл, а обычный Word-документ с картинками, принтерные логи не выдадут ничего подозрительного. Даже название файла он выбрал максимально нейтральное — вроде «Microsoft Word – Document1».

Однако расчёт не оправдался. Как выяснилось, системы контроля у работодателя Перес-Лугонеса позволяют не только видеть стандартные метаданные печати — имя файла, время и пользователя, — но и восстанавливать копии самих распечатанных документов. В результате следователи получили доступ к тем самым изображениям со скриншотами секретных материалов.

Кроме того, в материалах дела упоминается ещё один эпизод: подозреваемого якобы заметили за тем, как он открывает секретный документ и делает письменные заметки, постоянно переводя взгляд с экрана на блокнот. Каким образом это было зафиксировано, прямо не говорится, но контекст явно намекает на видеонаблюдение внутри защищённого помещения.

RSS: Новости на портале Anti-Malware.ru