Опубликована техника обхода SMEP-защиты при эксплуатации Linux уязвимостей

Александр Панасенко 20 Ноября 2012 - 10:14

...

В ядре Linux 3.0 была представлена поддержка режима SMEP (Supervisor Mode Execution Protection), присутствующего в процессорах Intel на базе архитектуры Ivy Bridge. Использование SMEP не даёт переходить из режима ядра к выполнению кода, находящегося на пользовательском уровне, что позволяет блокировать эксплуатацию многих уязвимостей в ядре Linux (shell-код не будет выполнен, так как он находится в пространстве пользователя).

Один из исследователей безопасности опубликовал интересный способ эксплуатации уязвимостей в ядре в обход защиты SMEP (существуют и другие пути обхода SMEP, но данный метод заслуживает внимания в силу своей оригинальности), сообщает opennet.ru.

Метод построен на основе организации подстановки последовательности инструкций в исполняемую область JIT-компилятора (например, подсистемы BPF - Berkeley Packet Filter), генерирующего код на основе входных данных, которые могут контролироваться атакующим. Так как JIT-компилятор контролирует генерацию кода, так просто подставить инструкции не получится. Но можно воспользоваться тем, что входящие данные используются в качестве аргументов генерируемых инструкций. Например, для входных данных "$0xa8XXYYZZ" и "$0xa8PPQQRR" будет сгенерирован код:

b8 ZZ YY XX a8 mov $0xa8XXYYZZ, %eax
b8 RR QQ PP a8 mov $0xa8PPQQRR, %eax
b8 ...

Если пропустить байт с кодом инструкции mov (b8) и передать управление на следующий за ним байт (ZZ) будет выполнен машинный код "ZZ YY XX". При этом переданные в хвосте данные "a8" будут обработаны как ничего не значащая команда test с аргументом из кода команды mov (b8):

ZZ YY XX (подконтрольные атакующему инструкции)
a8 b8 test $0xb8, %al
RR QQ PP (подконтрольные атакующему инструкции)
a8 b8 test $0xb8, %al

Таким образом у злоумышленника появляется возможность формирования произвольной последовательности трёхбайтовых команд, выполняемой в пространстве ядра. При эксплуатации уязвимости, управление может быть передано на данные команды, в которых можно повысить привилегии процесса или отключить SMEP и передать управление на обычный shell-код в пространстве пользователя.

Следующая главная новость »

Анатомия кибератаки: как расследовать инциденты в ИБ — подробнее в эфире AM Live. Регистрируйтесь »

Екатерина Быстрова 12 Декабря 2025 - 17:15

Трояны Шпионские программы Программы слежения Домашние пользователи UserGate

WhatsApp Gold для россиян оказался инструментом кибершпионажа

В мессенджере WhatsApp (принадлежит признанной в России экстремистской организации и запрещённой корпорации Meta) среди российских пользователей снова начала распространяться «золотая классика» мошенников — приложение WhatsApp Gold. На фоне обсуждений возможных ограничений работы сервиса злоумышленники активно предлагают установить «улучшенную» версию мессенджера, которая якобы помогает восстановить его работоспособность.

На деле же речь идёт о зловреде для кибершпионажа. Как сообщил ТАСС специалист компании UserGate, WhatsApp Gold — это не официальный клиент, а инструмент для скрытого сбора данных.

Подобные схемы используются уже много лет: сообщения о WhatsApp Gold появлялись ещё до начала 2020-х и регулярно «возвращаются» при любом информационном шуме вокруг популярных сервисов.

Похожую активность ранее фиксировали и в компаниях F6 и «Мегафон». По их данным, мошенники продвигали поддельные версии не только WhatsApp, но и других популярных платформ — Telegram, YouTube и TikTok. Среди примеров — трояны с громкими названиями вроде TikTok 18+, YouTube Ultra или Telegram Unlock.

По словам и.о. директора по информационной безопасности UserGate Дмитрия Овчинникова, установка WhatsApp Gold может привести к серьёзным последствиям. Зловред позволяет злоумышленникам выгружать данные с устройства, включая учётные данные, а в отдельных случаях — получать доступ к аккаунтам на портале «Госуслуги».

Эксперт подчёркивает: любые предложения установить «дополнительное ПО» для восстановления или улучшения работы мессенджера следует сразу рассматривать как мошеннические. Официальных «альтернативных» клиентов WhatsApp с такими функциями не существует.

На этом фоне ситуация вокруг самого WhatsApp остаётся напряжённой. Роскомнадзор ранее заявлял о поэтапном введении ограничений в отношении мессенджера из-за нарушений законодательства и не исключал его полной блокировки в России.

Глава Совета при президенте РФ по развитию гражданского общества и правам человека Валерий Фадеев в интервью ТАСС отметил, что не видит проблемы в блокировке WhatsApp при наличии отечественных альтернатив, таких как Max.

Напомним, в соцсетях активно распространяется лайфхак, который, как утверждают пользователи, ускоряет работу мессенджера WhatsApp.

Анатомия кибератаки: как расследовать инциденты в ИБ — подробнее в эфире AM Live. Регистрируйтесь »