Технологія Patchless Protection: принципи та механізми захисту

DBI-фреймворки працюють у користувацькому режимі (user mode). Коли застосунок запускається або коли шар інструментування підключається до вже активного процесу, DBI-рушій перехоплює керування ще до початку виконання власного коду застосунку. Він копіює машинний код застосунку блок за блоком до окремої області пам’яті, яка називається кешем коду (code cache). Після цього весь код виконується вже з кешу, а не безпосередньо з оригінальних сторінок пам’яті.
Для безпеки це критично важливо, оскільки під час копіювання DBI-рушій може додавати додаткову логіку аналізу, виклики зворотних функцій (callbacks) або механізми блокування навколо конкретних інструкцій чи викликів функцій. При цьому сам застосунок не «бачить» цих змін. З його точки зору він продовжує працювати у звичайному режимі.
Для реалізації Patchless Protection рішення vRx використовує DBI для виявлення та перехоплення конкретних функцій, пов’язаних із відомими CVE. Коли викликається вразлива функція, спочатку спрацьовує доданий DBI-механізмом callback. Він може:
● Аналізувати контекст виклику — перевіряти аргументи, стан стеку та інформацію про процес-викликач на наявність ознак експлуатації.● Дозволяти або блокувати виклик — пропускати легітимні запити та блокувати ті, що відповідають відомим шаблонам атак.● Сповіщати адміністратора — реєструвати подію без блокування, що особливо корисно для режимів моніторингу та оцінки ризиків. Усе це відбувається безпосередньо в оперативній пам’яті під час виконання застосунку, без змін бінарних файлів на диску та без необхідності перезавантаження системи.

Як vRx реалізує Patchless Protection: два рівні захисту

Технологія Patchless Protection у vRx одночасно працює на двох незалежних рівнях захисту.
Рівень 1: Ізоляція адресного простору пам’яті
Перший рівень захисту охоплює весь адресний простір процесу вразливого застосунку. Його завдання — обмежити доступ зовнішніх процесів і системних викликів до області пам’яті, у якій працює вразливий застосунок.
Атаки на кшталт ін’єкції в пам’ять (memory injection) або зчитування даних із пам’яті процесу (memory scraping), які використовуються для викрадення конфіденційної інформації чи впровадження шкідливого коду в адресний простір процесу, потребують можливості читати або записувати дані в ці області пам’яті.
Для протидії таким загрозам vRx обмежує відповідні шляхи доступу, застосовуючи механізми контролю на рівні операційної системи. Це дозволяє визначати, які процеси можуть взаємодіяти зі сторінками пам’яті, виділеними для захищеного застосунку, і блокувати несанкціоновані спроби доступу.

Рівень виконуваних файлів і бінарних компонентів

Технологія Patchless Protection у vRx захищає не лише активний процес у пам’яті. Вона також контролює цілісність виконуваних файлів застосунку та пов’язаних із ним бінарних компонентів, зокрема DLL-бібліотек у середовищі Windows.
Чому це важливо?
Деякі вектори атак спрямовані не на процес, який уже виконується, а на файли застосунку, що зберігаються на диску. Одним із прикладів є DLL Hijacking — техніка, за якої зловмисник підміняє або перехоплює спільну бібліотеку, яку завантажує цільовий застосунок.
Якщо застосунок завантажує DLL-файл, контрольований зловмисником, шкідливий код починає виконуватися в контексті цього застосунку та отримує ті самі права доступу, що й сам процес.
vRx постійно контролює цілісність бінарних файлів захищеного застосунку та бібліотек, які він використовує. Несанкціоновані зміни цих файлів або спроби підміни їх шкідливими версіями автоматично виявляються. У таких випадках система може:
● генерувати сповіщення про інцидент;● блокувати завантаження скомпрометованого компонента;● запобігати виконанню потенційно шкідливого коду.
Таким чином модель захисту виходить за межі контролю під час виконання (runtime) та доповнюється контролем цілісності файлів до моменту їх завантаження, забезпечуючи комплексний захист як на рівні пам’яті, так і на рівні бінарних компонентів.