Igor Korkin, Ph.D. - OS Security Research

Igor Korkin, PhD

Operating System Security Researcher

Windows Internals | Kernel Security | Hypervisor-based Protection | Rootkit Detection

Contact:

E-mail / Telegram

Professional:

LinkedIn / GitHub / Google Patents / IEEE Xplore / РИНЦ

Academic:

Google Scholar / ORCID / arXiv / DBLP / Scopus / Web of Science / ResearcherID / ResearchGate / OpenReview / Semantic Scholar / eLibrary / RSCI / DsLib.net / Academia.edu

Igor Korkin

Research Areas

Windows kernel security Intel VT-x / EPT Hypervisor-based protection Memory forensics Rootkit detection ETW, WMI, ALPC

AboutОбо мне

I am an operating-system security researcher with a PhD in Information Security. I work on Windows internals, kernel memory protection, hypervisors, and memory forensics. I build prototypes, run experiments, and study how attacks and defenses behave inside the operating system.

I graduated from National Research Nuclear University MEPhI and worked on security research at Huawei Technologies and Binarly. I have spoken at Black Hat, HITB, and LABScon and supervise student research at MEPhI.

Explore my research projects, publications, and conference talks.

Education

  • PhD Information Security (specialty 05.13.19), NRNU MEPhI. Dissertation on detecting stealth virtualization-based malware.
  • Specialist degree Information Security, Moscow Engineering Physics Institute / NRNU MEPhI, 2009.

Я кандидат технических наук, исследователь безопасности операционных систем. Мои основные направления — внутренние механизмы Windows, защита ядра, гипервизорная изоляция и анализ оперативной памяти. Разрабатываю и экспериментально исследую механизмы защиты на уровне операционной системы.

Выпускник НИЯУ МИФИ. Работал над исследовательскими проектами по кибербезопасности в Huawei Technologies и Binarly. Выступал на Black Hat, HITB и LABScon, руковожу научными работами студентов МИФИ.

Подробнее: исследовательские проекты, публикации и доклады.

Образование

  • Кандидат технических наук по специальности 05.13.19 «Методы и системы защиты информации, информационная безопасность», НИЯУ МИФИ. Диссертационное исследование посвящено обнаружению скрытых вредоносных программ с применением аппаратной виртуализации.
  • Диплом специалиста в области информационной безопасности, МИФИ, 2009 год.

Selected Research

Four areas of my published work are shown below, with links to the papers, code, and conference talks behind them.

Hypervisor-based Kernel Protection

MemoryRanger

MemoryRanger uses Intel VT-x and EPT to give Windows kernel drivers separate memory-access rules. The goal is to prevent a compromised driver from reading or modifying protected kernel code and data.

Source code · Black Hat Europe 2018 · Slides

Windows Kernel Security

Memory Forensics & Rootkit Detection

Memory analysis can uncover processes, drivers, and other objects that rootkits hide from standard Windows APIs. In later work, we used CUDA-enabled GPUs to speed up statistical memory-dump analysis. Preliminary tests showed approximately a 3× speedup.

ADFSL 2014 paper · ADFSL 2016 paper · ADFSL 2016 slides

Virtualization Security & Rootkit Detection

Stealth Hypervisor Detection

How do you detect a hypervisor that tries to hide its timing overhead? My PhD research used statistical instruction-timing analysis to tackle timing manipulation, noisy measurements, and nested hypervisors. The methods were tested on Intel and AMD processors.

PhD thesis · JDFSL 2015 paper · ADFSL 2015 slides

Endpoint Telemetry & Evasion

ETW & WMI Security

At Black Hat Europe 2021 and Black Hat USA 2022, we demonstrated how attacks on Windows ETW and WMI can blind or bypass the telemetry used by EDR and SIEM products. Both talks show what defenders can miss when those monitoring mechanisms are attacked.

Black Hat Europe 2021 slides · Black Hat USA 2022 · ETW talk video

Selected Publications

Selected scholarly works on operating-system security, hypervisor-based protection, kernel memory isolation, and malware detection. For the complete bibliography, see the bibliography below.

  1. 2026 Защита ядра операционных систем в условиях противодействия Monograph · INFRA-M · 488 pages · ISBN 978-5-16-021527-3 DOI · Book website · Repository
  2. 2021 Protected Process Light is not Protected: MemoryRanger Fills the Gap Again IEEE Symposium on Security and Privacy Workshops / SADFE DOI · Materials
  3. 2019 MemoryRanger Prevents Hijacking FILE_OBJECT Structures in Windows Kernel — JDFSL Journal of Digital Forensics, Security and Law · Vol. 14, No. 3 · P. 1–10 Paper · DOI
  4. 2015 Two Challenges of Stealthy Hypervisors Detection: Time Cheating and Data Fluctuations Proceedings of the 10th Annual ADFSL Conference on Digital Forensics, Security and Law · Daytona Beach, Florida, USA · 2015 Paper
Full bibliography (60 works, 2009–2026)

Monograph — 2026

Защита ядра операционных систем в условиях противодействия

Ph.D. Thesis — 2012

Методика обнаружения нелегитимного программного обеспечения, использующего технологию аппаратной виртуализации
  • ГОСТ
    Коркин И. Ю. Методика обнаружения нелегитимного программного обеспечения, использующего технологию аппаратной виртуализации : дис. ... канд. техн. наук : 05.13.19. — Москва : НИЯУ МИФИ, 2012. — 151 с.
  • English title / topic
    Method for the Detection of Illegitimate Software that Uses Hardware Virtualization Technology. Research: Statistical Detection of Hardware Virtualization-Based Rootkits.
  • Defense
    Candidate of Technical Sciences, NRNU MEPhI. Defended February 9, 2012; approved August 30, 2012.
  • Sources
    Thesis PDF · Abstract PDF · PhD archive · eLIBRARY · INIS · RSL dissertation · RSL abstract
    ЦИТиС: И120213185334 / 04201255358. Related research: JDFSL 2015.

2025

  1. О подходе к защите приложений класса «менеджер паролей» от перехвата клавиатурного ввода
    • ГОСТ
      Коркин И.Ю. О подходе к защите приложений класса «менеджер паролей» от перехвата клавиатурного ввода / И.Ю. Коркин // Кибернетика и информационная безопасность: сб. науч. тр. 3-ой Всерос. науч.-техн. конф. «КИБ-2025». — М., 2025. — С. 70-71.
    • APA 7
      Korkin, I. Y. (2025). O podkhode k zashchite prilozhenii klassa “menedzher parolei” ot perekhvata klaviaturnogo vvoda [An approach to protecting password-manager applications from keyboard input interception]. In Kibernetika i informatsionnaya bezopasnost' “KIB-2025”: Proceedings of the Third All-Russian Scientific and Technical Conference, Moscow, Russia, December 3–4, 2025 (pp. 70–71). NRNU MEPhI.

2024

  1. Гибридная схема направленного фаззинг тестирования ядра Linux с использованием инструмента Syzkaller
    • ГОСТ
      Гришин М.А. Гибридная схема направленного фаззинг тестирования ядра Linux с использованием инструмента Syzkaller / М.А. Гришин, И.Ю. Коркин // Кибернетика и информационная безопасность: сб. науч. тр. 2-ой Всерос. науч.-техн. конф. «КИБ-2024». — М., 2024. — С. 238–239.

Additional arXiv preprints (not numbered)

ALPC Is In Danger: ALPChecker Detects Spoofing and Blinding
  • ГОСТ
    Kropova A., Korkin I. ALPC Is In Danger: ALPChecker Detects Spoofing and Blinding : препринт // arXiv. — arXiv:2401.01376. — DOI: 10.48550/arXiv.2401.01376. — Первоначально размещено 30 декабря 2023 г.; архивная серия 2024 г.
  • APA 7
    Kropova, A., & Korkin, I. (2023, December 30). ALPC is in danger: ALPChecker detects spoofing and blinding [Preprint]. arXiv. https://doi.org/10.48550/arXiv.2401.01376
  • Links
    arXiv:2401.01376 · Paper PDF
RASP for LSASS: Preventing Mimikatz-Related Attacks
  • ГОСТ
    Revazova A., Korkin I. RASP for LSASS: Preventing Mimikatz-Related Attacks : препринт // arXiv. — arXiv:2401.00316. — DOI: 10.48550/arXiv.2401.00316. — Первоначально размещено 30 декабря 2023 г.; архивная серия 2024 г.
  • APA 7
    Revazova, A., & Korkin, I. (2023, December 30). RASP for LSASS: Preventing Mimikatz-Related Attacks [Preprint]. arXiv. https://doi.org/10.48550/arXiv.2401.00316
  • Links
    arXiv:2401.00316 · Paper PDF

2023

  1. ALPChecker — Detecting Spoofing and Blinding Attacks
    • ГОСТ
      Kropova A. ALPChecker — Detecting Spoofing and Blinding Attacks / A. Kropova, I. Korkin // Hack In The Box Security Conference (HITBSecConf2023), CommSec Track. — Phuket, Thailand, 2023. — URL: https://www.youtube.com/watch?v=DV0dls206zc.
    • Links
      https://www.youtube.com/watch?v=DV0dls206zc
  2. Исследование вопросов безопасности технологии ALPC в условиях атак с использованием драйверов Windows
    • ГОСТ
      Кропова А.В. Исследование вопросов безопасности технологии ALPC в условиях атак с использованием драйверов Windows / А.В. Кропова, И.Ю. Коркин // ИНТЕРЭКСПО ГЕО-СИБИРЬ. — 2023. — Т. 7, № 2. — С. 43–50.
  3. Анализ защиты операционной системы Windows 11 от внедрения кода в процессы
    • ГОСТ
      Счастливцев К.Д. Анализ защиты операционной системы Windows 11 от внедрения кода в процессы / К.Д. Счастливцев, И.Ю. Коркин // Кибернетика и информационная безопасность: сб. науч. тр. Всерос. науч.-техн. конф. «КИБ-2023». — М., 2023. — С. 30–31.

2022

  1. Анализ безопасности подсистем локальной аутентификации ОС семейств Windows и Linux
    • ГОСТ
      Голуб С.А. Анализ безопасности подсистем локальной аутентификации ОС семейств Windows и Linux / С.А. Голуб, И.Ю. Коркин // Безопасность информационных технологий. — 2022. — Т. 29, № 1. — С. 57–69.
    • APA 7
      Golub, S. A., & Korkin, I. Y. (2022). An analysis of local security authority subsystem services for Windows and Linux. Security of Information Technologies, 29(1), 57–69. https://doi.org/10.26583/bit.2022.1.06
  2. Human-Controlled Fuzzing With AFL
    • ГОСТ
      Grishin M. Human-Controlled Fuzzing With AFL / M. Grishin, I. Korkin // Proceedings of the 15th Annual ADFSL Conference on Digital Forensics, Security and Law. — Florida, USA, 2022. — URL: https://commons.erau.edu/adfsl/2022/presentations/3/.
    • Links
      https://commons.erau.edu/adfsl/2022/presentations/3/
  3. Human-Controlled Fuzzing with AFL
    • ГОСТ
      Grishin M. Human-Controlled Fuzzing with AFL / M. Grishin, I. Korkin // ROOTCON 16. — Philippines, 2022. — URL: https://www.youtube.com/watch?v=__5KbGy2cHk.
    • Links
      https://www.youtube.com/watch?v=__5KbGy2cHk
  4. Microsoft Defender Will Be Defended: MemoryRanger Prevents Blinding Windows AV
    • ГОСТ
      Pogonin D. Microsoft Defender Will Be Defended: MemoryRanger Prevents Blinding Windows AV / D. Pogonin, I. Korkin // Proceedings of the 15th Annual ADFSL Conference on Digital Forensics, Security and Law. — Florida, USA, 2022. — URL: https://commons.erau.edu/adfsl/2022/presentations/7/.
    • Links
      https://commons.erau.edu/adfsl/2022/presentations/7/
  5. Microsoft Defender Will Be Defended: MemoryRanger Prevents Blinding Windows AV
    • ГОСТ
      Pogonin D. Microsoft Defender Will Be Defended: MemoryRanger Prevents Blinding Windows AV / D. Pogonin, I. Korkin // ROOTCON 16. — Philippines, 2022. — URL: https://www.youtube.com/watch?v=dF7TP1V6wTM.
    • Links
      https://www.youtube.com/watch?v=dF7TP1V6wTM
  6. Blasting Event-Driven Cornucopia: WMI-based User-Space Attacks Blind SIEMs and EDRs
  7. Blasting Event Driven Cornucopia: WMI Edition
  8. Blinding Endpoint Security Solutions: WMI attack vectors
    • ГОСТ
      Korkin I. Blinding Endpoint Security Solutions: WMI attack vectors / I. Korkin, C. Teodorescu, A. Golchikov // EKOPARTY. — Buenos Aires, Argentina, 2022. — URL: https://www.youtube.com/watch?v=Q35snDTxb6w.
    • Links
      https://www.youtube.com/watch?v=Q35snDTxb6w
  9. Обнаружение программ-шифровальщиков на основе данных механизма трассировки событий и применения метода машинного обучения
    • ГОСТ
      Калинкин А.О. Обнаружение программ-шифровальщиков на основе данных механизма трассировки событий и применения метода машинного обучения / А.О. Калинкин, С.А. Голуб, И.Ю. Коркин, Д.Н. Пятовский // Безопасность информационных технологий. — 2022. — Т. 29, № 3. — С. 82–93.
    • APA 7
      Kalinkin, A. O., Golub, S. A., Korkin, I. Y., & Pyatovskiy, D. N. (2022). Ransomware detection based on machine learning models and Event Tracing for Windows. Security of Information Technologies, 29(3), 82–93. https://doi.org/10.26583/bit.2022.3.07

2021

  1. Windows Kernel Hijacking is Not an Option: MemoryRanger Comes to the Rescue Again
    • ГОСТ
      Korkin I. Windows Kernel Hijacking is Not an Option: MemoryRanger Comes to the Rescue Again / I. Korkin // Journal of Digital Forensics, Security and Law. — 2021. — URL: https://commons.erau.edu/jdfsl/vol16/iss1/4/.
    • APA 7
      Korkin, I. (2021). Windows kernel hijacking is not an option: MemoryRanger comes to the rescue again. Journal of Digital Forensics, Security and Law, 16, Article 4. https://doi.org/10.58940/1558-7223.1726
    • Links
      https://commons.erau.edu/jdfsl/vol16/iss1/4/
  2. Protected Process Light is not Protected: MemoryRanger Fills The Gap Again
    • ГОСТ
      Korkin I. Protected Process Light is not Protected: MemoryRanger Fills The Gap Again / I. Korkin // Systematic Approaches to Digital Forensic Engineering (SADFE) International Workshop in conjunction with the 42nd IEEE Symposium on Security and Privacy: Proceedings of 2021 IEEE Symposium on Security and Privacy Workshops. — San Francisco, CA, USA, 2021. — URL: https://ieeexplore.ieee.org/document/9474278.
    • Links
      https://ieeexplore.ieee.org/document/9474278
  3. Protected Process Light will be Protected — MemoryRanger Fills the Gap Again
    • ГОСТ
      Korkin I. Protected Process Light will be Protected — MemoryRanger Fills the Gap Again / I. Korkin // Texas Cyber Summit IV. — San Antonio, Texas, USA, 2021. — URL: https://www.youtube.com/watch?v=oY28U6U2moo.
    • Links
      https://www.youtube.com/watch?v=oY28U6U2moo
  4. Your Linux Passwords Are in Danger: MimiDove Meets the Challenge
    • ГОСТ
      Korkin I. Your Linux Passwords Are in Danger: MimiDove Meets the Challenge / I. Korkin, S. Golub // Texas Cyber Summit IV. — San Antonio, Texas, USA, 2021. — URL: https://www.youtube.com/watch?v=R4yWYtTqH4I.
    • Links
      https://www.youtube.com/watch?v=R4yWYtTqH4I
  5. Your Linux Passwords Are in Danger: MimiDove Meets the Challenge
  6. Veni, No Vidi, No Vici: Attacks on ETW Blind EDR Sensors
  7. Расширение возможностей Clang Static Analyzer для обнаружения новых уязвимостей
    • ГОСТ
      Рудик М.В. Расширение возможностей Clang Static Analyzer для обнаружения новых уязвимостей / М.В. Рудик, И.Ю. Коркин // Естественные и технические науки. — 2021. — № 7 (158). — С. 225–230.

2020

  1. Windows Kernel Hijacking is Not an Option: MemoryRanger Comes to the Rescue Again
  2. Analysis of Memory Dump Approaches for the MAC OS
    • ГОСТ
      Korkin I. Y., Lyashenko V. A., Lipnitsky A. A., Pak M. A., Bykovsky P. S. Analysis of Memory Dump Approaches for the MAC OS // Actual Scientific Research in the Modern World. — 2020. — URL: https://elibrary.ru/item.asp?id=43092509.
    • Links
      https://elibrary.ru/item.asp?id=43092509

2019

  1. MemoryRanger Prevents Hijacking FILE_OBJECT Structures in Windows Kernel — ADFSL
  2. MemoryRanger Prevents Hijacking FILE_OBJECT Structures in Windows Kernel — JDFSL
  3. Средство обнаружения скрытого исполнимого кода в памяти ОС Windows
    • ГОСТ
      Поддубный В.А. Средство обнаружения скрытого исполнимого кода в памяти ОС Windows / В.А. Поддубный, И.Ю. Коркин // Вопросы кибербезопасности. — 2019. — № 5 (33). — С. 75–82.
  4. Средство обнаружения скрытого исполнимого кода в памяти ОС Windows
    • ГОСТ
      Поддубный В.А. Средство обнаружения скрытого исполнимого кода в памяти ОС Windows / В.А. Поддубный, И.Ю. Коркин // Управление информационной безопасностью в современном обществе: VII Междунар. науч.-практ. конф. — М., 2019. — URL: https://www.elibrary.ru/item.asp?id=41517996.
    • Links
      https://www.elibrary.ru/item.asp?id=41517996
  5. Обнаружение криптомайнеров в ОС Windows инструментами технологии ETW
    • ГОСТ
      Казаков О.А. Обнаружение криптомайнеров в ОС Windows инструментами технологии ETW / О.А. Казаков, И.Ю. Коркин // Вопросы кибербезопасности. — 2019. — № 5 (33). — С. 83–88.
    • APA 7
      Kazakov, O. A., & Korkin, I. Y. (2019). Obnaruzhenie kriptomainerov v OS Windows instrumentami tekhnologii ETW [Revealing cryptocurrency mining malware via Event Tracing for Windows (ETW)]. Voprosy kiberbezopasnosti, 5(33), 83–88. https://doi.org/10.21681/2311-3456-2019-5-83-88
  6. Обнаружение криптомайнеров в ОС Windows инструментами технологии ETW
    • ГОСТ
      Казаков О.А. Обнаружение криптомайнеров в ОС Windows инструментами технологии ETW / О.А. Казаков, И.Ю. Коркин // Управление информационной безопасностью в современном обществе: VII Междунар. науч.-практ. конф. — М., 2019. — URL: https://www.elibrary.ru/item.asp?id=41517997.
    • Links
      https://www.elibrary.ru/item.asp?id=41517997
  7. I. Y. Korkin, O. A. Kazakov. Detection of Hidden Cryptocurrency Mining Malware in Windows OS
  8. I. Y. Korkin, V. A. Poddubnyy. Detection of Hidden Executable Code in Windows Memory

2018

  1. Hypervisor-Based Active Data Protection for Integrity and Confidentiality of Dynamically Allocated Memory in Windows Kernel
    • ГОСТ
      Korkin I. Hypervisor-Based Active Data Protection for Integrity and Confidentiality of Dynamically Allocated Memory in Windows Kernel / I. Korkin // Proceedings of the 13th Annual ADFSL Conference on Digital Forensics, Security and Law. — San Antonio, Texas, USA, 2018. — URL: https://commons.erau.edu/adfsl/2018/presentations/13/.
    • Links
      https://commons.erau.edu/adfsl/2018/presentations/13/
  2. Divide et Impera: MemoryRanger Runs Drivers in Isolated Kernel Spaces

2017

  1. Detect Kernel-Mode Rootkits via Real-Time Logging & Controlling Memory Access
    • ГОСТ
      Korkin I. Detect Kernel-Mode Rootkits via Real-Time Logging & Controlling Memory Access / I. Korkin, S. Tanda // Proceedings of the 12th Annual ADFSL Conference on Digital Forensics, Security and Law. — Daytona Beach, Florida, USA, 2017. — URL: https://commons.erau.edu/adfsl/2017/papers/5/.
    • Links
      https://commons.erau.edu/adfsl/2017/papers/5/

2016

  1. Acceleration of Statistical Detection of Zero-day Malware in the Memory Dump Using CUDA-enabled GPU Hardware
    • ГОСТ
      Korkin I. Acceleration of Statistical Detection of Zero-day Malware in the Memory Dump Using CUDA-enabled GPU Hardware / I. Korkin, I. Nesterov // Proceedings of the 11th Annual ADFSL Conference on Digital Forensics, Security and Law. — Daytona Beach, Florida, USA, 2016. — P. 47–82.
  2. Monitoring & controlling kernel-mode events by HyperPlatform
  3. Igor Korkin. Cyber-Security of Autonomous Wireless Medical Devices For Supporting Life

2015

  1. Two Challenges of Stealthy Hypervisors Detection: Time Cheating and Data Fluctuations — ADFSL
    • ГОСТ
      Korkin I. Two Challenges of Stealthy Hypervisors Detection: Time Cheating and Data Fluctuations // Proceedings of the 10th Annual ADFSL Conference on Digital Forensics, Security and Law. — Daytona Beach, Florida, USA, 19 May 2015. — P. 33–57.
    • APA 7
      Korkin, I. (2015). Two challenges of stealthy hypervisors detection: Time cheating and data fluctuations. Proceedings of the 10th Annual ADFSL Conference on Digital Forensics, Security and Law, 33–57.
    • Conference details
      Conference: 10th Annual ADFSL Conference on Digital Forensics, Security and Law
      Venue: Daytona Beach, Florida, USA
      Presentation: May 19, 2015, 10:45 AM
      Type: Peer Reviewed Paper
      Pages: 33–57
    • Links
      ADFSL publication page: https://commons.erau.edu/adfsl/2015/tuesday/7/
      ADFSL 2015 Proceedings: https://commons.erau.edu/adfsl/2015/
      Research details / blog: https://igorkorkin.blogspot.com/2015/05/two-challenges-of-stealthy-hypervisors.html
  2. Two Challenges of Stealthy Hypervisors Detection: Time Cheating and Data Fluctuations — JDFSL

2014

  1. Applying Memory Forensics to Rootkit Detection
    • ГОСТ
      Korkin I. Applying Memory Forensics to Rootkit Detection / I. Korkin, I. Nesterov // Proceedings of the 9th Annual ADFSL Conference on Digital Forensics, Security and Law. — Richmond, Virginia, USA, 2014. — P. 115–141.

2013

  1. Руткиты: проблемы безопасности и тенденции развития
    • ГОСТ
      Коркин И. Руткиты: проблемы безопасности и тенденции развития / И. Коркин // Хакер. — 2013. — Вып. 5 (172). — С. 74–79.
  2. Igor Korkin. Rootkits: Security Issues and Trends
    • ГОСТ
      Igor Korkin. Rootkits: Security Issues and Trends // Hacker Magazine. — 2013. — URL: https://xakep.ru/2013/05/01/60595/.
    • Links
      https://xakep.ru/2013/05/01/60595/

2012

  1. Обоснование критериев присутствия программного обеспечения, использующего технологию аппаратной виртуализации, в компьютерных системах
    • ГОСТ
      Коркин И.Ю. Обоснование критериев присутствия программного обеспечения, использующего технологию аппаратной виртуализации, в компьютерных системах / И.Ю. Коркин // Безопасность информационных технологий. — 2012. — Т. 19, № 2. — С. 90–92.
  2. Модели выполнения процессорных инструкций в условиях противодействия со стороны нарушителя для компьютерных систем с поддержкой технологии аппаратной виртуализации
    • ГОСТ
      Жуков А.Е. Модели выполнения процессорных инструкций в условиях противодействия со стороны нарушителя для компьютерных систем с поддержкой технологии аппаратной виртуализации / А.Е. Жуков, И.Ю. Коркин, Б.М. Сухинин // Безопасность информационных технологий. — 2012. — Т. 19, № 2. — С. 85–89.
  3. Уровневый метод обнаружения гипервизоров в компьютерных системах
    • ГОСТ
      Коркин И.Ю. Уровневый метод обнаружения гипервизоров в компьютерных системах / И.Ю. Коркин // Методы и технические средства обеспечения безопасности информации: сб. мат. 21-ой Общерос. науч.-техн. конф. — СПб., 2012. — С. 110–113.
  4. Anti-Rootkits in the Era of Cyber Wars
    • ГОСТ
      Korkin I. Anti-Rootkits in the Era of Cyber Wars / I. Korkin // Exploiting Software: SamuraiWTF Toolkit. — 2012. — Is. 7. — P. 26–29.

2011

  1. Метод выявления аппаратной виртуализации в компьютерных системах на основе механизма кэширования
    • ГОСТ
      Коркин И.Ю. Метод выявления аппаратной виртуализации в компьютерных системах на основе механизма кэширования / И.Ю. Коркин // Безопасность информационных технологий. — 2011. — Т. 18, № 1. — С. 101–103.
  2. Статистическая идентификация режимов работы компьютерных систем
    • ГОСТ
      Коркин И.Ю. Статистическая идентификация режимов работы компьютерных систем / И.Ю. Коркин // Телекоммуникации и новые информационные технологии в образовании: сб. науч. тр. 15-ой конф. — М.: Национальный исследовательский ядерный университет «МИФИ», 2011. — С. 163–165.
  3. Выявление вложенных мониторов виртуальных машин
    • ГОСТ
      Коркин И.Ю. Выявление вложенных мониторов виртуальных машин / И.Ю. Коркин // Системы высокой доступности. — 2011. — Т. 7, № 2. — С. 76–77.
  4. Выявление вложенных мониторов виртуальных машин: доклад на конференции «РусКрипто»
    • ГОСТ
      Коркин И.Ю. Выявление вложенных мониторов виртуальных машин: доклад на конференции «РусКрипто» / И.Ю. Коркин. — 2011. — URL: https://ruscrypto.ru/accociation/news/2011-03-21.html.
    • Links
      https://ruscrypto.ru/accociation/news/2011-03-21.html
  5. Обнаружение вложенных мониторов виртуальных машин методами математической статистики
    • ГОСТ
      Коркин И.Ю. Обнаружение вложенных мониторов виртуальных машин методами математической статистики / И.Ю. Коркин // Методы и технические средства обеспечения безопасности информации: сб. мат. 20-ой Общерос. науч.-техн. конф. — СПб., 2011. — С. 146–147.
  6. Новые статистические показатели и методы для обнаружения мониторов виртуальных машин в компьютерных системах
    • ГОСТ
      Коркин И.Ю. Новые статистические показатели и методы для обнаружения мониторов виртуальных машин в компьютерных системах / И.Ю. Коркин // Естественные и технические науки. — 2011. — № 4 (54). — С. 498–502.
  7. Strong Approach to Hardware-VM Rootkits Detection
    • ГОСТ
      Korkin I. Strong Approach to Hardware-VM Rootkits Detection / I. Korkin // Hakin9 Extra — Rootkit. — 2011. — Is. 6. — P. 30–35.

2010

  1. Метод обнаружения аппаратной виртуализации в компьютерных системах
    • ГОСТ
      Коркин И.Ю. Метод обнаружения аппаратной виртуализации в компьютерных системах / И.Ю. Коркин, Т.В. Петрова, А.Ю. Тихонов // Проблемы информационной безопасности в системе высшей школы: сб. науч. тр. 17-ой Всерос. конф. — М., 2010. — С. 114–115.
  2. Метод обнаружения аппаратной виртуализации в компьютерных системах
    • ГОСТ
      Коркин И.Ю. Метод обнаружения аппаратной виртуализации в компьютерных системах / И.Ю. Коркин, Т.В. Петрова, А.Ю. Тихонов // Безопасность информационных технологий. — 2010. — Т. 17, № 1. — С. 80–81.
  3. Критерий обнаружения монитора виртуальных машин в компьютерных системах
    • ГОСТ
      Коркин И.Ю. Критерий обнаружения монитора виртуальных машин в компьютерных системах / И.Ю. Коркин // Методы и технические средства обеспечения безопасности информации: сб. мат. 19-ой Общерос. науч.-техн. конф. — СПб., 2010. — С. 113–114.
  4. Новый подход к выявлению аппаратной виртуализации в компьютерных системах
    • ГОСТ
      Коркин И.Ю. Новый подход к выявлению аппаратной виртуализации в компьютерных системах / И.Ю. Коркин, Т.В. Петрова, А.Ю. Тихонов // Молодежь и наука: тез. докл. 14-ой Междунар. телекоммуник. конф. студентов и молодых ученых. — Ч. 3. — М.: Национальный исследовательский ядерный университет «МИФИ», 2010. — С. 241–242.

2009

  1. Технологии сокрытия вредоносных программ и новые способы противодействия им
    • ГОСТ
      Коркин И.Ю. Технологии сокрытия вредоносных программ и новые способы противодействия им / И.Ю. Коркин // Безопасность информационных технологий. — 2009. — Т. 16, № 4. — С. 43–46.
  2. Способ обнаружения скрытых процессов в операционной системе Windows
    • ГОСТ
      Коркин И.Ю. Способ обнаружения скрытых процессов в операционной системе Windows / И.Ю. Коркин // Проблемы информационной безопасности в системе высшей школы // Сб. науч. тр. 16-ой Всерос. конф. — М., 2009. — С. 111–112.

2005

Измерение остроты режущей поверхности инструментов (профилометр режущей кромки)
  • ГОСТ
    Коркин И. Ю., Прокопцев П. И., Павлишин П. П., Семенкова Е. А. Измерение остроты режущей поверхности инструментов (профилометр режущей кромки) // Тракторы и сельскохозяйственные машины. — 2005. — № 5. — С. 35–36. — ISSN 0235-8573.

Google Scholar · ORCID · Scopus

Patents

Selected patent records related to data protection and operating-system security.

  • EP4231181B1: Data Protection Method, Apparatus, Storage Medium, and Computer Device, Hu K., Korkin I.Y., Huawei Technologies Co. Ltd., 2022.
  • CN114519186A: Data protection method and device, storage medium and computer equipment.
  • WO2022105610: WIPO Patent Scope record.

US12475250B2 · US20230289465A1 — additional records in the same patent family.

Awards & Recognition

  • Finalist, Skolkovo Cybersecurity Challenge 2016 (Cyberday Conference 2016), "Cyber-security of wireless implantable medical devices for supporting life", Moscow, Russia, December 8, 2016. reference.
  • 3rd place, Microsoft Summer School on the Internet of Things, Kazan, Russia, July 17-23, 2016. reference.
  • One of two top papers, Conference on Digital Forensics, Security and Law, Daytona Beach, Florida, USA, May 18-21, 2015. reference.
  • 1st place, Hackers vs. Forensics championship, Positive Hack Days, Moscow, Russia, May 30-31, 2012. reference.
  • Finalist, RusCrypto 2011, "Detection of nested virtual machine monitors", Moscow Region, Russia, March 30 - April 2, 2011. reference.

News & Updates

Earlier conferences, publications, and milestones: publication bibliography.

Selected Conference Talks

Recent talks on Windows Desktop security, followed by earlier work on kernel protection, telemetry attacks, and Windows internals. Slides and recordings are linked where available.

Beyond Secure Desktop: Abusing and Hardening Windows Desktop Isolation

OFFZONE 2026 · Main Track · Moscow, August 21, 2026

I looked at Windows Desktop access controls, keylogging risks, and ways to isolate interactive sessions.

  • ГОСТ
    Коркин И. Ю. Практический анализ безопасности Windows Desktop: атаки кейлоггеров и способы защиты : доклад на VII Международной конференции по практической кибербезопасности OFFZONE 2026, Москва, 21 августа 2026 г.
  • APA 7
    Korkin, I. (2026, August 21). Beyond Secure Desktop: Abusing and hardening Windows Desktop isolation [Conference presentation]. OFFZONE 2026: Seventh International Conference on Practical Cybersecurity, Moscow, Russia.
  • Links
    GitHub research archive: https://github.com/IgorKorkin/research/tree/main/2026/2026--Conference--OFFZONE

DesktopRanger Blocks Keystroke Spying: Hardening Windows Desktop Isolation

Pass the SALT 2026 · Lille, France · July 2, 2026

Demonstration of keylogging attacks against isolated Windows desktops and DesktopRanger access-control hardening.

Recorded talk · Research archive · DesktopRanger source code

Earlier Selected Talks

ALPChecker: Detecting Spoofing and Blinding Attacks

HITBSecConf Phuket, 2023

session / slides / blog

Blasting Event-Driven Cornucopia: WMI-based User-Space Attacks Blind SIEMs and EDRs

Black Hat USA, 2022

Black Hat / event / archive

Blasting Event Driven Cornucopia: WMI Edition

LABScon, 2022

replay

Blinding Endpoint Security Solutions: WMI attack vectors

Ekoparty, 2022

video

Veni, No Vidi, No Vici: Attacks on ETW Blind EDR Sensors

Black Hat Europe, 2021

event / archive

Kernel Hijacking is Not an Option: MemoryRanger Comes to the Rescue Again

HITB Lockdown 002, 2020

session

Protected Process Light is not Protected: MemoryRanger Fills the Gap Again

IEEE S&P Workshops / Texas Cyber Summit, 2021

doi / materials

Divide et Impera: MemoryRanger Runs Drivers in Isolated Kernel Spaces

Black Hat Europe, 2018

blackhat / materials / code

Recorded Talks on YouTube

ALPChecker: Detecting Spoofing and Blinding Attacks on YouTube

ALPChecker – Detecting Spoofing and Blinding Attacks

HITB 2023

Blinding Endpoint Security Solutions: WMI attack vectors on YouTube

Blinding Endpoint Security Solutions: WMI attack vectors

Ekoparty, 2022

Blasting Event-Driven Cornucopia: WMI-based User-Space Attacks Blind SIEMs and EDRs on YouTube

Blasting Event-Driven Cornucopia: WMI-based User-Space Attacks Blind SIEMs and EDRs

Black Hat USA, 2022

Microsoft Defender Will Be Defended on YouTube

Microsoft Defender Will Be Defended - MemoryRanger Prevents Blinding Windows AV

ROOTCON 16, 2022

Veni, No Vidi, No Vici: Attacks on ETW Blind EDR Sensors on YouTube

Veni, No Vidi, No Vici: Attacks on ETW Blind EDR Sensors

Black Hat Europe, 2021

Protected Process Light will be Protected on YouTube

Protected Process Light Will Be Protected

Texas Cyber Summit, 2021

Your Linux Passwords Are in Danger: MimiDove Meets the Challenge on YouTube

Your Linux Passwords Are in Danger: MimiDove Meets the Challenge

Texas Cyber Summit, 2021 (short talk)

Divide et Impera: MemoryRanger Runs Drivers in Isolated Kernel Spaces on YouTube

Divide et Impera: MemoryRanger Runs Drivers in Isolated Kernel Spaces

Black Hat Europe, 2018

Conference Record

Year Conferences and venues
2025 MEPhI CIB / КИБ Moscow (Russia).
2023 HITBSecConf Phuket (Thailand).
2022 Black Hat USA (USA), LABScon (USA), Ekoparty (Argentina), ADFSL (USA), ROOTCON (Philippines).
2021 Black Hat Europe (UK), IEEE S&P Workshops / SADFE (USA), Texas Cyber Summit (USA).
2020 HITB Lockdown 002 (Singapore / online), Journal of Digital Forensics, Security and Law (USA).
2018-2019 Black Hat Europe (UK), ADFSL (USA), Journal of Digital Forensics, Security and Law (USA).
2016-2017 REcon Montreal (Canada), ADFSL (USA).
2014-2015 ADFSL (USA), Journal of Digital Forensics, Security and Law (USA).
2012 Methods and Technical Means of Information Security / MTSOBI, Saint Petersburg (Russia).
2011 Infoforum (Russia), Youth and Science / MEPhI (Russia), MTSOBI, Saint Petersburg (Russia), Telecommunications and New Information Technologies in Education / MEPhI (Russia), RusCrypto (Russia), ISP RAS seminar (Russia), Bauman MSTU seminar (Russia).
2010 Infoforum (Russia), MTSOBI, Saint Petersburg (Russia), Youth and Science / MEPhI (Russia).
2009 Infoforum / Problems of Information Security in Higher Education (Russia).

International Collaboration

Supervision & Peer Review

Student Research Supervision

I supervise diploma and student research projects in information security at National Research Nuclear University MEPhI. Research topics have included Windows memory forensics, malware detection, ETW-based monitoring, ALPC security, and operating-system protection mechanisms.

Additional academic activity includes participation in the MEPhI State Examination Board. See the student research page and academic service record.

Peer Review

I have reviewed research manuscripts in cybersecurity and computer security, including for the following journals:

More material

Awards YouTube Monograph CV PDF Telegram