Intel TDX / AMD SEV. использование защищённых анклавов для прятания от аверов?

[jaskolka]

да, в первую очередь надо убедиться, что ты и на обычном дистрибутиве не можешь прочитать данные виртуалки, а потом уже сооружать типичный "cloud hosting environment"
если память читается - то или SEV не работает, или ты что-то делаешь не так.

Вчера несколько часов бился с конфигурацией всего этого. К сожалению нет такой галочки, которую ставишь где-то в virt-manager и у тебя включается SEV для всех VM, при условии что в биосе оно включено уже. Было бесконечная геометрическая прогрессия ошибок, которые рождали новые ошибки, а за ними следующие. Спустя несколько часов я вообще забыл зачем я решаю конкретную проблему)). Обычная история с linux и тем более QEMU, и все же моих нервов не хватило мне вчера))

Этот вопрос добью 100%, для тестов ESXi у меня сетевой адаптер не поддерживается в 7+ ESXi, чтоб можно было попробовать в них, возможно закажу нужную - попробую.

 

[weaver]

Добавлю сюда пару интересных линков
Secure Enclaves for Offensive Operations (Part I)

Abusing VBS Enclaves to Create Evasive Malware
Bring Your Own Vulnerable Enclave (PoC)

DEF CON 29 - Dimitry 'Op Nomad' Snezhkov - Use of Offensive Enclaves In Adversarial Operations
Exclave (offensive enclave system)

 

[Dread Pirate Roberts]

Secure Enclaves for Offensive Operations (Part I)

From an offensive perspective, the appeal of enclaves lies in their ability to securely store (and process) data, creating an opportunity for attackers to embed malicious data or logic in areas where defenders are unlikely to look – or are unable to look at all.

ага

Вчера несколько часов бился с конфигурацией всего этого. К сожалению нет такой галочки, которую ставишь где-то в virt-manager и у тебя включается SEV для всех VM, при условии что в биосе оно включено уже. Было бесконечная геометрическая прогрессия ошибок, которые рождали новые ошибки, а за ними следующие. Спустя несколько часов я вообще забыл зачем я решаю конкретную проблему)). Обычная история с linux и тем более QEMU, и все же моих нервов не хватило мне вчера))

Этот вопрос добью 100%, для тестов ESXi у меня сетевой адаптер не поддерживается в 7+ ESXi, чтоб можно было попробовать в них, возможно закажу нужную - попробую.

получилось что-нибудь?

 

[dunkel]

Получается парадокс, модель как rpc клиент-сервер (где клиент командует изнутри виртуалки)
Собственно на жертве можно оставить только rpc server/rce agent который будет весить 1кб, а тяжелый rpc клиент с рантайм логикой просто запустить у себя

У аверов не будет даже закриптованного семпла малвари для динамического анализа и реверса. Только server side black box и процесс который получает инструкции по сети и от которого исходит примитивная телеметрия. А если ресерчер пытается анализировать логику подсовывая rpc серверу разные результаты выполнения во множество итераций - блеклистить айпи и вести себя по другому, как легитимная программа, тролля и расходуя время реверсера.

 

[weaver]