Novo rootkit para Linux utiliza recursos de GPUs para se esconder - O Analista
Novo rootkit para Linux utiliza recursos de GPUs para se esconder
8 de maio de 2015 611 views0
Uma equipe de desenvolvedores criou um rootkit para sistemas Linux que utiliza o poder de processamento e memória das placas de vídeo (em vez de CPUs) para permanecer escondido.
O rootkit chamado Jellyfish, é uma prova de conceito, feita para demonstrar que o malware em execução nas GPUs (Unidades de processamento gráfico) é uma opção viável. Isso é possível porque as placas gráficas dedicadas têm seus próprios processadores e memória RAM.
Tais ameaças poderiam ser mais poderosas do que o malware tradicional, de acordo com os desenvolvedores do Jellyfish. Por um lado, não existem ferramentas que analisem os malwares na GPU, disseram.
Além disso, tais rootkits podem espionar a memória principal do equipamento da vítima, que é utilizada pela maioria dos outros programas, através de um recurso conhecido chamado DMA (Direct Memory Access ou Acesso Direto à Memória). O DMA permite que os componentes de hardware possam ler a memória principal do sistema, sem passar pela CPU, tornando essas operações mais difíceis de detectar.
A maioria dos malwares de GPU se mantêm no sistema mesmo após o seu desligamento, de acordo com o informado pelos desenvolvedores do Jellyfish em sua página no GitHub.
O código do rootkit usa a API do OpenCL, desenvolvido pelo Kronos Group, um consórcio de fabricantes de GPU e outras empresas que desenvolvem padrões abertos. Então, para o rootkit funcionar, os drivers OpenCL precisam ser instalados na máquina alvo.
O Jellyfish atualmente funciona com placas gráficas da AMD e Nvidia, mas placas Intel também são suportadas através do AMD APP SDK, um kit de desenvolvimento de software que permite que as GPUs sejam utilizadas para acelerar aplicações.
As GPUs realizam cálculos matemáticos mais rapidamente do que CPUs, e é por isso que alguns programas de malware podem alavancar o seu poder de processamento, como por exemplo, os que extraem informações criptogradas da moeda virtual Bitcoin. No entanto, esses programas mal intencionados não funcionam corretamente em GPUs como o Jellyfish.
Os desenvolvedores do rookit advertem que o Jellyfish é um trabalho que ainda está em desenvolvimento, por isso está com muitos bugs e incompleto. O código destina-se para ser usado apenas para fins educacionais, disseram.
Os desenvolvedores também criaram um keylogger baseado em GPU chamado Daemon, que foi inspirado em um trabalho acadêmico de pesquisa em 2013, chamado "Você pode digitar, mas não pode esconder: Um Keylogger oculto baseado em GPU".
"Não estamos associados com outros criadores de keylogger", disseram os desenvolvedores do Daemon.
Os usuários provavelmente não deverão se preocupar com criminosos utilizando malwares baseados em GPUs ainda, mas provas de conceito como o Jellyfish e Daemon poderiam inspirar futuros desenvolvimentos. Mas é uma questão de tempo antes que ataques planejados por "pesquisadores" sejam adotados por pessoas mal intencionadas.