Придуман способ взломать любую защиту ядра Windows

Этот пост был первоначально опубликован на этот сайт

РБК-CNEWS

Табличный режим

Исследователи компании enSilo Омри Мисгав (Omri Misgav) и Уди Яво (Udi Yavo) обнаружили новую технику обхода защитных мер на уровне ядра в операционных системах Windows.

Новый способ получил название Turning Tables, поскольку использует таблицы страниц (page tables) Windows.

Таблицы страниц — это структура данных, типичная для всех операционных систем, а не только Windows; такие таблицы используются для хранения сопоставления между виртуальной и физической памятью. Виртуальные адреса используются программой, выполняемой процессом ОС, а физические адреса используются аппаратными компонентами и, в частности, подсистемой ОЗУ.

Поскольку объём физической оперативной памяти ограничен, операционные системы создают так называемые «страницы общего кода» (shared code pages), так, чтобы несколько процессов могли хранить один и тот же код и при необходимости обращаться к нему.

Метод Turning Tables полагается на вредоносный код, который позволяет модифицировать эти страницы — в негативном смысле. Это сказывается и на выполнении других процессов, в том числе тех, которые запускаются с повышенными привилегиями.

Омри Мисгав и Уди Яво представляют новый метод взлома Windows и, возможно, Linux и MacOS

В результате Turning Tables может помочь злоумышленнику повысить привилегии, с которыми запускается его код, вплоть до уровня SYSTEM.

Эксперты enSilo указывают, что их метод может использоваться для вредоносного воздействия на приложения, запущенные в изолированных средах — «песочнице». Например, Turning Tables позволяет оказать воздействие на браузер Chrome, который как раз и выполняется в защищенной изолированной среде.

Другие системы тоже под угрозой?

Теоретически MacOS и Linux могут быть уязвимы перед атакой Turning Tables в той же степени, что и Windows, поскольку Page Tables используются и в них, однако проверить это к настоящему моменту исследователи не успели.

«Этот метод может сработать под другими ОС, поскольку он использует не какие-то специфические особенности операционных систем, а принцип оптимизации, общий для всех, — считает Олег Галушкин, директор по информационной безопасности компании SEC Consult Services. — Однако «может» —

подробнее на {{ original_post_url}}