Обнаружен метод обхода защиты Windows PatchGuard
Специалисты компании CyberArk обнаружили метод обхода Windows PatchGuard, предполагающий эксплуатацию одной из технологий, реализованных в процессорах Intel. Атака позволяет внедрить вредоносный код в ядро ОС и установить руткит на системе.
Описанная исследователями техника обхода работает только на системах с процессорами Intel, использующими функцию Processor Trace (технология для программной отладки с помощью трассировки выполнения команд). Как правило, вмешательство в операции Intel PT потребует изменения кода ядра, что немедленно обнаружит и заблокирует PatchGuard.
Как выяснили эксперты, выделение чрезвычайного маленького буфера для обработки пакетов Intel PT приведет к его переполнению и запуску процессором обработчика PMI. Проблема заключается в том, что PatchGuard не проверяет работу обработчика и злоумышленники могут воспользоваться им для внедрения вредоносного кода в ядро и установки руткита на 64-разрядных версиях Windows, в том числе Windows 10.
Специалисты проинформировали Microsoft о проблеме, однако производитель отказался выпускать обновление безопасности мотивировав это тем, что для осуществления атаки злоумышленнику потребуется изначально иметь доступ к ядру на инфицированной машине. Компания не исключила, что может добавить соответствующий патч в следующий пакет плановых обновлений, тем не менее, она не намерена рассматривать GhostHook как уязвимость.
PatchGuard, также известная как Kernel Patch Protection (KPP) - функция в 64-разрядных версиях Windows, обеспечивающая защиту от несанкционированной модификации ядра ОС вредоносным кодом.
Руткит - набор программных средств (например, исполняемых файлов, скриптов, конфигурационных файлов), обеспечивающих маскировку объектов (процессов, файлов, директорий, драйверов); управление (событиями, происходящими в системе);сбор данных (параметров системы).
Читайте также
- Ошибка в API Facebook предоставляла доступ к фото 6,8 млн пользователей
- Одного ноутбука оказалось достаточно для компрометации всей корпоративной сети
- Депутаты Госдумы разработали план по обеспечению работы Рунета на случай отключения от Сети
- Морские суда часто подвергаются кибератакам
- 25 декабря состоится встреча сообщества специалистов по кибербезопасности АСУ ТП / RUSCADASEC
- Уязвимость в приложении Logitech позволяла удаленно инициировать нажатие клавиш