XDA智能手机网 - 第一智能手机评述媒体
科技您的位置:首页 >科技 >

研究人员在推测性执行的帮助下隐藏了良性应用程序中的恶意软件

发布时间:2019-02-27 17:52:46 来源:

来自科罗拉多大学博尔德分校(UCB)的一组学者通过利用“推测性执行”的过程找到了一种隐藏恶意软件操作的方法,这与去年发现的Meltdown和Spectre漏洞相同。

所述推测执行的技术是现代处理器的性能提升功能在CPU上运行的计算提前(推测执行的线程),然后选择执行线程,一个应用程序的需要,删除了其它推测执行的线程和他们的数据。

Meltdown和Spectre漏洞允许黑客在从CPU高速缓存存储器中清除数据之前从这些推测执行线程中检索数据。

在过去的一年,安全研究人员已经确定并公布从推测执行操作检索数据的许多和不同的方法[ 1,2,3,4,5,6 ]。

但在本周NDSS 2019安全会议上提出的研究中,UCB学者们表明,投机执行可以用于数据窃取以外的其他事件,这表明投机执行线程可以作为隐藏恶意命令的秘密场所。

他们命名为ExSpectre的技术意味着创建受害者在其系统上安装的良性应用程序二进制文件,认为它们是安全的,并且在使用安全软件应用程序扫描时确实看起来是安全的。

但实际上,可以配置这些二进制文件(在接收外部触发器 - 用户/网络输入或系统上运行的其他应用程序之后)以启动操作好的应用程序执行恶意操作的精心策划的推测执行线程。

“我们使用OpenSSL库作为VA中的良性触发程序展示了这一点,当对手使用与特定密码套件的TLS连接反复连接到受感染的OpenSSL服务器时激活恶意有效负载程序,”UCB研究人员说。

在其他示例中,研究人员表示,他们还使用ExSpectre技术解密加密内存,甚至操纵应用程序以打开攻击者控制位置的本地反向shell,并允许它在受害计算机上运行命令。

“当我第一次看到这篇论文时,我立即认为这是隐藏恶意软件的一种非常巧妙的方式,” 发现Meltdown和Spectre缺陷的研究人员之一Daniel Gruss说,他上个月透露了一篇类似的研究论文想法躲在一个合法的CPU功能--Intel的SGX飞地内的恶意软件。

“非常有趣的想法,”格鲁斯补充道。“这表明投机性执行也可以用于其他恶意方式,所以我认为这更加重要,因为它扩大了我们对投机执行的理解以及它允许​​的根本上不同类型的恶意操作。”

此外,根据UCB研究人员的说法,由于它的工作方式,ExSpectre级恶意软件目前无法检测到。

“使用[ExSpectre],可以屏蔽恶意程序计算的关键部分,这样即使是跟随程序指令级跟踪的调试器也无法判断其结果是如何计算的,”UCB研究团队表示。

“这种技术破坏了现有的静态和动态分析,使得恶意软件分析师特别难以确定二进制文件的功能,”他们补充说。

研究人员表示,至少在软件层面,目前无法使用编码使用ExSpectre技术的恶意软件阻止攻击。

“最终,将需要芯片和微架构补丁来保护CPU免受此类恶意软件的侵害,”他们说道,这与谷歌研究人员撰写的类似研究论文的结论相呼应,他们还得出结论,幽灵在该软件中永远无法根除级别,可能需要新一代的CPU硬件。

热点推荐
随机文章