黑客正出售在显卡VRAM内隐藏恶意软件的工具

Bleeping Computer写道，最近有人在一个黑客论坛上出售一种PoC。他们没有透露关于该工具的太多细节，但其工作原理是在GPU内存缓冲区分配地址空间来存储恶意代码，并从那里执行它。

卖家补充说，该代码只在支持OpenCL 2.0或更高版本的Windows电脑上工作。他们证实它在AMD的Radeon RX 5700和Nvidia的GeForce GTX 740M和GTX 1650显卡上可以工作。它也适用于英特尔的UHD 620/630集成图形。

8月8日，论坛上出现了宣传该工具的帖子。大约两周后（8月25日），卖家透露，他们已经将PoC卖给了别人。8月29日，研究小组Vx-underground在Twitter上说，恶意代码使GPU在其内存空间中执行二进制。它将"很快"展示这一技术。

我们过去曾见过基于GPU的恶意软件，例如你可以在GitHub上找到开源的Jellyfish攻击方式，这是一个基于Linux的GPU rootkit PoC，利用了OpenCL的LD_PRELOAD技术。JellyFish背后的研究人员还发布了基于GPU的键盘记录器和基于GPU的Windows远程访问木马的PoC。

图片.png

这种方法的技术核心是通过DMA[直接内存访问]直接从GPU监控系统的键盘缓冲区，除了页表之外，在内核的代码和数据结构中没有任何挂钩或修改。对攻击代码原型实现的评估表明，基于GPU的键盘记录器可以有效地记录所有的用户按键，将它们存储在GPU的内存空间中，甚至可以就地分析记录的数据，而运行时间的开销甚至可以忽略不计。

早在2011年，安全人员就发现了一种新的恶意软件威胁，利用GPU来挖掘比特币。但是最近PoC的卖家说，他们的方法与JellyFish不同，因为它不依赖代码映射回用户空间。