Ученые научились скрывать вредоносы с помощью спекулятивного режима

Механизм спекулятивного выполнения может использоваться не только для кражи данных, но и сокрытия вредоносных команд.

В минувшем году общественность взбудоражило известие об уязвимостях класса Meltdown и Spectre , затрагивающих почти все современные процессоры, построенные по архитектурам Intel, AMD и ARM. Уязвимости связаны с алгоритмами внеочередного и спекулятивного исполнения в процессорах и могут служить для перехвата зашифрованных данных, паролей и другой информации. Однако, как продемонстрировали специалисты Колорадского университета в Боулдере (США), механизм спекулятивного выполнения может использоваться не только для кражи данных, но и сокрытия вредоносных команд. Новый метод под названием ExSpectre предполагает создание на первый взгляд безопасного приложения, которое не вызовет подозрение у пользователей и антивирусных программ. Но на самом деле бинарные файлы могут быть сконфигурированы (с помощью отдельного «триггер»-приложения, работающего на компьютере) для запуска потока инструкций, который может служить для сокрытия вредоносный команд.

С помощью техники ExSpectre исследователи смогли расшифровать данные в памяти, а также с помощью приложений запустить локальную обратную оболочку и выполнить команды на целевом устройстве.

Согласно словам специалистов, в настоящее время вредоносное ПО класса ExSpectre невозможно обнаружить. В данном случае существующие методы динамического и статического анализа будут неэффективны, поскольку техника ExSpectre усложняет определение функций бинарного файла. На сегодняшний день методов противодействия атакам ExSpectre не существует, по крайней мере на уровне программного обеспечения. Для защиты процессоров от подобного вредоносного ПО потребуется выпуск микрокодов, отметили эксперты.

Напомним, ранее специалисты Грацкого технологического университета описали похожий метод, позволяющий скрывать вредоносные приложения с помощью технологии Intel SGX.