Исследователи безопасности из компании CyberArk Labs описали новую кибератаку, эксплуатирующую функцию, реализованную во всех недавних процессорах Intel, — Memory Protection Extension (MPX). Атака, получившая название BoundHooking, позволяет перехватывать вызовы функций между различными программными компонентами под управлением Microsoft Windows.

Атака срабатывает только на системах на базе процессоров Intel микроархитектуры Skylake и новее с поддержкой функции MPX и под управлением Windows 10 — как 32-битных, так и 64-битных версий. Но самое важное в данном случае — это то, что для проведения атаки необходимо, чтобы злоумышленник уже полностью скомпрометировал атакуемую систему, то есть получил в ней администраторские права.

Атака позволяет вызывать исключение в конкретной области памяти в пользовательском контексте. Затем злоумышленник может перехватить исключение и получить контроль над выполнением потока, используемым конкретным приложением. Например, можно перехватить сигнал от клавиатуры, отправляемый Windows какой-либо службе, а далее — подменять все нажатия пользователем клавиш.