感谢Ben的翻译投递:
Intel CPU 缓存被暴漏洞,研究报告与 RootKit利用代码即将出炉。
"3月19日,我们将就Intel CPU 的缓存机制漏洞,公布一份报告及漏洞利用。相关攻击可以在目前大部分IntelCPU的主板上从Ring0提权至SMM。Rafal在几个小时内就做出了一份漏洞利用代码。" Joanna女强人在博客中写道。
本次漏洞利用的致命之处,在于它能将自身隐藏在SMM空间中,SMM权限高于VMM,设计上不受任何操作系统控制、关闭或禁用。实际应用中唯一能确认SMM空间中运行代码的方法只有物理性的分离计算机固件。由于SMI优先于任何系统调用,任何操作系统都无法控制或读取SMM,使得SMMRootKit有超强的隐匿性。
Being divorced from the operating system makes the SMM rootkit stealthy, but it also means that hackers have to write this driver code expressly for the system they are attacking.
But will it be 100% undetectable? Sparks says no. "I'm not saying it's undetectable, but I do think it would be difficult to detect." She and Embleton will talk more about detection techniques during their Black Hat session, she said.
Brand new rootkits don't come along every day, Heasman said. "It will be one of the most interesting, if not the most interesting, at Black Hat this year," he said.作者: kennyxue 时间: 19-3-2009 11:02
”问世间情为何物，一物降一物“， 直接刷ROM， BIOS， 可以吗？ 或者韧体刷新。作者: coredump 时间: 19-3-2009 12:58 标题: 回复 #3 someonehappy 的帖子 可以直接搞破话啊，就像CIH之类的一样作者: beysup 时间: 19-3-2009 12:59
有一事不明，既然这种漏洞属于硬件级别的，连操作系统都无法控制，还怕有人利用其来编写病毒程序去攻击吗？ 难道能通过间接的方式？作者: beysup 时间: 19-3-2009 13:05 标题: 回复 #5 coredump 的帖子 CIH不一样，它好比是经过调用刷新bios的功能，这个是操作系统可以访问到的资源。但是CPU的cache，对于操作系统是透明的作者: someonehappy 时间: 19-3-2009 14:40
我理解，这里的操作系统无法控制的意思，是说这个病毒代码是运行在cpu的比操作系统级别更高的那个smm级别的，所以，操作系统范畴里面的代码是无法知道它在运行中的。
难道能通过间接的方式？
准备把paper弄下来回去研究研究，编写点黑客程序啥的