Supermalware se snaží obejít antivir, není však „neviditelný“

Média po celém světě vzrušil objev vědců z Technické univerzity ve Štýrském Hradci. Těm se podařilo vyvinout supermalware, novou techniku počítačového malwaru, již údajně nezachytí žádný existující antivirus. Využívá totiž silně šifrovanou část paměti RAM, zvanou enkláva či Intel SGX, která je pro bezpečnostní software jakýmsi „slepým“ místem v systému. Pokud se tedy útočníkům podaří enklávu využít k vlastním škodlivým plánům, je těžší jejich aktivitu odhalit a detailně popsat. Není to však nereálné, jak se snaží některá média tvrdit.

Možnosti takovéhoto útoku výrazně omezuje fakt, že enklávy jsou sice důvěryhodnou, ale omezenou součástí vybrané aplikace. Se systémem mohou interagovat pouze jejím prostřednictvím. Takováto mateřská aplikace přitom má při interakci se systémem vlastní omezení a její aktivity jsou monitorovatelné bezpečnostním softwarem. Dalším limitem pro tento typ útoku je skutečnost, že enkláva nedokáže provádět operace sama od sebe, ale jen po aktivaci mateřskou aplikací.

Enklávy sice mohou zkomplikovat analýzu prováděnou bezpečnostním softwarem, protože ztěžují sledování dění v enklávě, jakákoli interakce s operačním systémem však probíhá přes mateřskou aplikaci. Tedy na úrovni, již antivirus či jiné bezpečnostní řešení dokáže monitorovat a případné škodlivé aktivity zablokovat.

Nejde tedy o žádný supermalware, který by byl pro antivirus neviditelný. Zachytit ho není možné totiž jen ve chvíli, kdy se nachází pouze v enklávě. Tedy v době, kdy nevytváří žádné aktivity směrem k operačnímu systému a tudíž ani nemůže škodit. Jde o poměrně náročnou techniku, jejímž prostřednictvím mohou útočníci skrýt svůj kód a postup před očima reverzních inženýrů a detekčních technologií.

Jak si takový útok představit v praxi?

Řekněme, že útočníci vytvoří nový typ ransomwaru, který se dokáže skrýt v oddělené enklávě. Ten kromě sebe na toto „slepé“ místo uloží i privátní klíč, čímž se efektivně skryje před bezpečnostní aplikací a analytiky škodlivých kódů. Mateřská aplikace, v níž je enkláva umístěná, ransomware v určité chvíli aktivuje. Ransomware musí následně převzít kontrolu nad mateřskou aplikací a zneužít ji k systémovým voláním, která najdou cílové soubory a umožní jejich zašifrování. Detekční technologie může zachytit již neobvyklé chování mateřské aplikace a jeho pozornosti neujdou ani systémová volání a spuštěný proces šifrování.

Vše se tedy děje v oblasti, kterou bezpečnostní software monitoruje a dokáže zablokovat. Co by se tedy pravděpodobně stalo? Došlo by k detekci a zablokování škodlivé aktivity, a uvalení karantény na ovládanou mateřskou aplikaci. Samozřejmě pokud by ransomware stihl některé z uživatelských souborů zašifrovat, jeho umístění (stejně jako umístění privátního klíče) v enklávě by znemožňovalo detailní analýzu postupu stejně jako dešifrování zasažených souborů.