新技術發布：在SGX中植入超級惡意軟體

科技 02-15

更多全球網路安全資訊盡在E安全官網www.easyaq.com

小編來報：研究人員設計出可以在SGX安全區中隱藏惡意軟體的新技術。

據外媒報道，研究人員設計出了一種新技術，可以將惡意軟體隱藏在英特爾SGX（Software Guard eXtensions）安全區中，多種安全技術都無法檢測到。

研究小組成員包括奧地利格拉茨技術大學（Graz University of Technology）的MichaelSchwarz、Samuel Weiser和Daniel Gruss，以及發現Spectre-Meltdown CPU漏洞的專家。專家指出，主機應用程序通過不允許enclave攻擊應用程序的介面與enclave進行通信。研究人員在英特爾CPU中使用了TSX（Transactional Synchronization eXtensions）以及TAP（TSX-based Address Probing, 一種抗錯誤讀取技術）。

新技術發布：在SGX中植入超級惡意軟體

打開今日頭條，查看更多圖片

英特爾SGX是一項針對應用程序開發人員的技術，能防止代碼和數據泄露或修改。它允許在Intel SGX enclave中執行應用程序代碼，enclave可以理解為一個數據運行的安全環境，防止操作系統、內核、BIOS、SMM和hypervisor等進程在更高許可權級別上運行。

新技術允許專家在內存區編寫惡意代碼，由於這些區域是安全區，使得安全檢測效果不佳。

SGX-ROP攻擊使用新的基於TSX的內存公開原語（memory-disclosure primitive）和任意地址寫原語（write-anything-anywhereprimitive）來構造代碼重用攻擊。SGX-ROP可以繞過ASLR、棧金絲雀保護（stack canaries）和地址消毒劑（address sanitizer）。

運行SGX中的惡意軟體時，SGX強大的保密性和完整性從根本上禁止了在enclave中進行惡意軟體檢查和分析。SGX不僅沒有幫助用戶免受傷害，反而構成了安全威脅，為超級惡意軟體提供了攻擊便利。

專家們發布了一個概念驗證（proof-of-concept），繞過ASLR、棧金絲雀保護和地址消毒劑的整個攻擊過程只需20.8秒。專家表示，下一代勒索軟體若是將加密密鑰保存在enclave中，勒索軟體恢復工具就無法發揮作用。