Гипервизор против руткитов: как это работает

[VaiMR]

Интересно. Как раз писал о защите от вредоносных гипервизоров habrahabr.ru/blogs/virus/121197/. Аппаратные реализации создают хорошее подспорье к созданию новых средств защиты.

[ice2heart]

Нет защиты которую не обойти, есть только турдные препятствия.
А что если гипервизор поднять на уровень выше? Колец то 4

[xtal]

Вы правы, абсолютная защита невозможна. Но можно сильно затруднить задачу обхода защиты. Например, для обхода вышеприведенного метода обнаружения автор руткита может реализовать свой гипервизор. Чтобы детектор-гипервизор, стартующий поверх запущенного руткита-гипервизора, ничего не заподозрил, придется проэмулировать технологию виртуализации. Это почти неосуществимая задача, которая по плечу лишь большим корпорациям.
И наоборот, если руткит-гипервизор попытается запуститься при включенном детекторе-гипервизоре, то не сможет этого сделать и будет обнаружен.

В режим гипервизора (root mode) можно перейти только с нулевого кольца. Без исключений.

[ntkt]

Вложенную виртуализацию действительно непросто реализовать(особенно без EPT/RVI), но не архисложно. Рутковска сотоварищи — это не Intel все-таки :)

Желаю Вам успехов в портировании на x64.

[xtal]

В том и дело, что нужно с EPT/RVI. Иначе будет сделан вывод о том, что система скомпрометирована.

Спасибо.