搜索

[3960] 2017-06-24_新型“鬼钩”攻击可绕过WindowsPatchGuard保护

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-16
2017-06-24_新型“鬼钩”攻击可绕过WindowsPatchGuard保护 新 型 “ 鬼 钩 ” 攻 击 可 绕 过 W i n d o w s   P a t c h G u a r d 保 护 原 创   E 安 全   E 安 全   2 0 1 7 - 0 6 - 2 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 6 月 2 4 日 讯   安 全 公 司 C y b e r A r k 的 安 全 专 家 发 现 一 种 方 法 ， 通 过 英 特 尔 C P U 的 新 功 能 P r o c e s s o r   T r a c e   ( I n t e l   P T )   绕 过 W i n d o w s 系 统 中 的 P a t c h G u a r d 内 核 保 护 。 借 助 这 种 方 法 ， 攻 击 者 可 以 在 此 前 被 认 为 坚 不 可 摧 的 系 统 上 植 入 R o o t k i t 。 H o o k 技 术 H o o k 技 术 可 以 让 攻 击 者 控 制 操 作 系 统 或 软 件 的 运 行 方 式 。 一 些 利 用 H o o k 的 软 件 包 括 ： 安 全 解 决 方 案 应 用 程 序 、 系 统 实 用 程 序 、 编 程 工 具 （ 例 如 拦 截 、 调 试 、 扩 展 软 件 等 ） 、 恶 意 软 件 （ 例 如 R o o t k i t ） 等 等 。 但 这 种 技 术 不 属 于 提 权 或 漏 洞 利 用 技 术 。 该 技 术 主 要 用 于 利 用 后 场 景 ， 攻 击 者 在 这 种 场 景 中 对 资 产 具 有 控 制 权 。 因 为 恶 意 内 核 代 码 （ R o o t k i t ） 通 常 希 望 在 目 标 内 创 建 并 维 持 持 久 性 ， 而 隐 秘 技 术 发 挥 了 重 要 作 用 。 W i n d o w s   P a t c h G u a r d P a t c h G u a r d 官 方 的 名 称 为 内 核 补 丁 保 护 （ K P P ） ， 是 6 4 位 W i n d o w s 系 统 的 安 全 功 能 ， 旨 在 阻 止 第 三 方 代 码 使 用 其 它 程 序 修 改 W i n d o w s 内 核 。 微 软 于 2 0 0 5 年 推 出 P a t c h G u a r d 功 能 ， 该 功 能 已 经 阻 止 了 大 多 数 R o o t k i t 在 6 4 位 W i n d o w s 系 统 上 运 行 。 “ 鬼 钩 ” 攻 击 利 用 英 特 尔 P T 功 能 安 全 研 究 人 员 发 布 的   “ 鬼 钩 ” （ G h o s t H o o k ） 新 技 术 能 使 用 英 特 尔 C P U 的 一 项 功 能 绕 过 P a t c h G u a r d 。 “ 鬼 钩 ” 技 术 可 以 为 恶 意 攻 击 者 或 信 息 安 全 产 品 提 供 支 持 ， 从 而 控 制 设 备 上 运 行 的 任 何 代 码 。
研 究 人 员 表 示 ， “ 鬼 钩 ” 仅 针 对 运 行 英 特 尔 P r o c e s s o r   T r a c e （ P T ） 的 系 统 。 P T 是 使 用 专 用 硬 件 捕 获 当 前 软 件 执 行 相 关 信 息 的 英 特 尔 C P U 功 能 ， 以 帮 助 调 试 操 作 ， 并 检 测 恶 意 代 码 。 正 常 情 况 下 ， 进 入 英 特 尔 P T 操 作 需 要 攻 击 者 将 恶 意 功 能 置 入 内 核 级 代 码 ， 而 P a t c h G u a r d 一 般 会 立 即 发 现 并 阻 止 这 种 操 作 。 C y b e r A r k 的 研 究 人 员 称 ， 分 配 非 常 小 的 缓 冲 区 处 理 英 特 尔 分 配 非 常 小 的 缓 冲 区 处 理 英 特 尔 P T 数 据 包 会 导 致 数 据 包 会 导 致 C P U 耗 尽 缓 冲 空 间 ， 并 打 开 耗 尽 缓 冲 空 间 ， 并 打 开 P M I 处 理 器 （ 处 理 器 （ P M I   H a n d l e r ） 来 管 ） 来 管 理 溢 出 代 码 。 但 问 题 在 于 ， 理 溢 出 代 码 。 但 问 题 在 于 ， P a t c h G u a r d 不 会 监 控 不 会 监 控 P M I 处 理 器 ， 攻 击 者 可 能 会 趁 机 通 过 处 理 器 ， 攻 击 者 可 能 会 趁 机 通 过 P M I 处 理 器 利 用 恶 意 代 码 修 改 内 核 操 作 。 处 理 器 利 用 恶 意 代 码 修 改 内 核 操 作 。 攻 击 者 通 过 这 种 方 法 神 不 知 鬼 不 觉 地 修 改 W i n d o w s 内 核 ， 并 在 6 4 位 W i n d o w s 上 嵌 入 R o o t K i t 。   “ 鬼 钩 ” 甚 至 会 影 响 W i n d o w s   1 0 。 自 微 软 2 0 1 5 年 夏 季 推 出 W i n d o w s   1 0   以 来 ， 被 证 明 有 效 的 R o o t k i t 其 实 很 少 。 微 软 拒 绝 修 复 “ 鬼 钩 ” 攻 击 媒 介 C y b e r A r k 公 司 称 已 经 向 微 软 报 告 了 “ 鬼 钩 ” 攻 击 ， 但 微 软 拒 绝 发 布 安 全 更 新 。 微 软 表 示 ， 可 能 会 在 定 期 漏 洞 修 复 周 期 内 发 布 补 丁 ， 但 不 会 将 “ 鬼 钩 ” 作 为 漏 洞 看 待 。 微 软 表 示 ， 攻 击 者 需 要 获 得 被 感 染 设 备 的 内 核 级 访 问 权 限 才 能 执 行 “ 鬼 钩 ” 攻 击 。 如 果 攻 击 者 具 备 内 核 级 访 问 权 也 可 以 执 行 其 它 恶 意 活 动 ， 用 户 首 先 应 该 防 止 攻 击 者 获 取 内 核 级 权 限 。 对 于 微 软 给 予 的 答 复 ， C y b e r A r k 反 复 强 调 ， 这 种 技 术 会 绕 过 P a t c h G u a r d 功 能 ， 为 R o o t k i t 打 开 一 扇 窗 进 入 6 4 位 W i n d o w s 系 统 ， 而 不 一 定 需 要 攻 击 者 取 得 内 核 级 访 问 权 限 。 真 正 的 问 题 在 于 ， 攻 击 者 可 以 利 用 这 种 技 术 在 过 去 数 年 无 法 进 入 的 平 台 上 植 入 R o o k t k i t 。 目 前 ， 从 整 个 恶 意 软 件 市 场 来 看 ， 由 于 有 P a t c h G u a r d 为 6 4 位 系 统 的 安 全 保 驾 护 航 ， 针 对 6 4 位 W i n d o w s 系 统 的 恶 意 软 件 所 占 比 例 不 到 1 % 。 2 4 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 6 月 月  
0 1 研 究 人 员 利 用 应 用 程 序 路 径 绕 过 W i n d o w s   1 0 中 的 U A C 机 制 0 2 C I A 泄 露 的 恶 意 间 谍 软 件 “ 雅 典 娜 ” 威 胁 所 有 W i n d o w s 版 本 0 3 C I A   V a u l t   7 第 四 波 ： 蝗 虫 来 袭 ， 微 软 W i n d o w s 寸 草 不 生 【 附 下 载 】 0 4 代 码 注 入 新 技 术 “ A t o m B o m b i n g ” 影 响 所 有 W i n d o w s 版 本 0 5 维 基 解 密 ： C I A 利 用 “ 野 蛮 袋 鼠 ” 渗 透 封 闭 网 络 0 6 如 何 在 一 分 钟 内 用 C M D 劫 持 W i n d o w s 帐 户 ? 0 7 W i n d o w s   1 0 偷 偷 上 传 用 户 击 键 记 录 至 微 软 服 务 器 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理