[Компьютерное железо, Софт, Процессоры, Игры и игровые приставки, IT-компании] Исследователь обнаружил драйвер AMD, который отключает для игр некоторые функции безопасности
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
16 мая ИБ-специалист Алекс Ионеску (Alex Ionescu) рассказал в Twitter, что он обнаружил на своем тестовом ПК на базе Ryzen 7 1700 внутри Windows 10 замаскированный драйвер AMD, который изменяет настройки системы при обнаружении в выполняемых процессах определенного списка игр. Такое поведение может стать проблемой для безопасности системы, так как позволяет использовать уязвимости.
Ионеску обнаружил, что в системе есть файл AMDPciDev.sys, который сертифицирован WHQL как драйвер PnP PCI и установлен в операционной системе как устройство с «фиктивной функцией PCIe».
Исследователя заинтересовала такая фиктивная ассоциация устройства, он решил провести реверс-инжениринг драйвера. В ходе этого процесса Ионеску зафиксировал некоторые странные особенности поведения драйвера, такие как работа его алгоритма хеширования, а также отслеживание создания и завершения новых процессов в системе и их мониторинг в процессе выполнения задач.
Оказалось, что драйвер «AMD PCI» задействовал процедуру уведомления о создании процессов, которая, проверяет все имена запущенных процессов в системе и сравнивает их по своему внутреннему списку из 19 хешированных имен. Если найдено какое-либо совпадение с этим списком (фактически это был список исполняемых файлов игр), то драйвер меняет в системе бит MSR для отключения или включения определенных аппаратных оптимизаций, например, выполняет отключение или управление кэшем инструкций. С одной стороны это может вызвать нестабильную работу системы под нагрузкой, но улучшить производительность игры. Ионеску пояснил, что драйвер вносит изменения не только для запущенной игры — он отключает часть защитных механизмов всей системы.
По мнению исследователя, проблема этого драйвера в том, что в его коде используется «очень слабый 32-битный хеш — например, CRC или XOR». Это может привести к конфликтам программных хешей, когда система считает, что игра запущена, даже если на самом деле это может быть критический процесс или другое программное обеспечение, которое само по себе не предназначено для этой специальной обработки драйвером. Также интерфейс драйвера позволяет проверять, есть ли какие-либо совпадения в его списке процессов, а также очищать списки и добавлять дополнительные хэши на время текуей загрузки в системе.
Другая проблема драйвера заключается в том, что его настройки безопасности позволяют любому приложению в пользовательском режиме задействовать непривилегированный интерфейс драйвера. Злоумышленник может использовать эту ситуацию, например, для создания сбоя в системе. Ионеску показал, как однострочная команда в PowerShell может привести к сбою системы на базе Ryzen 7. Код команды: (Get-NtFile \Device\NTPNP_PCI0031).DeviceIoControl(0x9C402400, 5, 5).
В итоге оказалось, что эти проблемы затрагивают только степпинг B1 процессоров серии Zen 1 (Ryzen 1xxx) и Zen 2 XT (Ryzen 3xxx). Ионеску уверен, что все равно проблема шире, так как сам драйвер уязвим, его использование запутано, его проверки плохо продуманы, список процессов произвольный, а AMD все делает за спиной пользователей, влияя на работу системы.
===========
Источник:
habr.com
===========
Похожие новости:
- [Конференции, IT-компании] Apple рассказала, что WWDC стоит 50 миллионов в год
- [Информационная безопасность, Законодательство в IT, Карьера в IT-индустрии, IT-компании] Не человек для работы, а работа для человека: мои ошибки при организации стажировок для студентов
- [Java, Разработка мобильных приложений, Разработка игр, Дизайн игр, Софт] 12 Tech Trends Every Java Developer Must Learn To Win The Game In 2021
- [Информационная безопасность, Социальные сети и сообщества, IT-компании] А. В. Щипков: Суверенизация Рунета принесёт пользу стране и Церкви
- [IT-эмиграция, Карьера в IT-индустрии, Офисы IT-компаний, IT-компании] [Личный опыт] Как работается QA-инженеру в Финляндии: что тут с графиком, корпоративной культурой и бонусами
- [Git, Криптовалюты, IT-компании] Прикрепите банковскую карту. GitLab рассказал, как будет бороться с злоупотреблениями майнингом в инструментах CI
- [Разработка игр, Монетизация игр, Дизайн игр, Игры и игровые приставки] Игровая экономика: игры «free-to-play» (перевод)
- [Производство и разработка электроники, Компьютерное железо, Процессоры, Здоровье] Отделы TSMC уйдут в изоляцию, чтобы минимизировать коронавирусные риски
- [Информационная безопасность, Криптография, Софт, Криптовалюты] Практическое руководство по анонимности в онлайне
- [Сетевые технологии, Реверс-инжиниринг, Разработка на Raspberry Pi, Сетевое оборудование, Игры и игровые приставки] Хакер создал сетевой адаптер для оригинального Game Boy
Теги для поиска: #_kompjuternoe_zhelezo (Компьютерное железо), #_soft (Софт), #_protsessory (Процессоры), #_igry_i_igrovye_pristavki (Игры и игровые приставки), #_itkompanii (IT-компании), #_drajver_amd (драйвер AMD), #_ryzen, #_amdpcidev.sys, #_pcie, #_kompjuternoe_zhelezo (
Компьютерное железо
), #_soft (
Софт
), #_protsessory (
Процессоры
), #_igry_i_igrovye_pristavki (
Игры и игровые приставки
), #_itkompanii (
IT-компании
)
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 17:18
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
 16 мая ИБ-специалист Алекс Ионеску (Alex Ionescu) рассказал в Twitter, что он обнаружил на своем тестовом ПК на базе Ryzen 7 1700 внутри Windows 10 замаскированный драйвер AMD, который изменяет настройки системы при обнаружении в выполняемых процессах определенного списка игр. Такое поведение может стать проблемой для безопасности системы, так как позволяет использовать уязвимости. Ионеску обнаружил, что в системе есть файл AMDPciDev.sys, который сертифицирован WHQL как драйвер PnP PCI и установлен в операционной системе как устройство с «фиктивной функцией PCIe». Исследователя заинтересовала такая фиктивная ассоциация устройства, он решил провести реверс-инжениринг драйвера. В ходе этого процесса Ионеску зафиксировал некоторые странные особенности поведения драйвера, такие как работа его алгоритма хеширования, а также отслеживание создания и завершения новых процессов в системе и их мониторинг в процессе выполнения задач. Оказалось, что драйвер «AMD PCI» задействовал процедуру уведомления о создании процессов, которая, проверяет все имена запущенных процессов в системе и сравнивает их по своему внутреннему списку из 19 хешированных имен. Если найдено какое-либо совпадение с этим списком (фактически это был список исполняемых файлов игр), то драйвер меняет в системе бит MSR для отключения или включения определенных аппаратных оптимизаций, например, выполняет отключение или управление кэшем инструкций. С одной стороны это может вызвать нестабильную работу системы под нагрузкой, но улучшить производительность игры. Ионеску пояснил, что драйвер вносит изменения не только для запущенной игры — он отключает часть защитных механизмов всей системы. По мнению исследователя, проблема этого драйвера в том, что в его коде используется «очень слабый 32-битный хеш — например, CRC или XOR». Это может привести к конфликтам программных хешей, когда система считает, что игра запущена, даже если на самом деле это может быть критический процесс или другое программное обеспечение, которое само по себе не предназначено для этой специальной обработки драйвером. Также интерфейс драйвера позволяет проверять, есть ли какие-либо совпадения в его списке процессов, а также очищать списки и добавлять дополнительные хэши на время текуей загрузки в системе. Другая проблема драйвера заключается в том, что его настройки безопасности позволяют любому приложению в пользовательском режиме задействовать непривилегированный интерфейс драйвера. Злоумышленник может использовать эту ситуацию, например, для создания сбоя в системе. Ионеску показал, как однострочная команда в PowerShell может привести к сбою системы на базе Ryzen 7. Код команды: (Get-NtFile \Device\NTPNP_PCI0031).DeviceIoControl(0x9C402400, 5, 5). В итоге оказалось, что эти проблемы затрагивают только степпинг B1 процессоров серии Zen 1 (Ryzen 1xxx) и Zen 2 XT (Ryzen 3xxx). Ионеску уверен, что все равно проблема шире, так как сам драйвер уязвим, его использование запутано, его проверки плохо продуманы, список процессов произвольный, а AMD все делает за спиной пользователей, влияя на работу системы. =========== Источник: habr.com =========== Похожие новости:
Компьютерное железо ), #_soft ( Софт ), #_protsessory ( Процессоры ), #_igry_i_igrovye_pristavki ( Игры и игровые приставки ), #_itkompanii ( IT-компании ) |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 17:18
Часовой пояс: UTC + 5