Больше руткитов — «хороших» и разных. Part I

[@BlackSwan]

Читая статью, вдруг подумал: а каково читать такое автору TDL и прочих зверушек? Что чувствуют? Гордость от того что их труды оказались живучи? Злость что их зверушку препарировали и выяснили то что они так хитро пытались спрятать? Или удовлетворение вида: «ха, а вы еще не всё знаете...»

А в целом статья познавательная, спасибо.

[@Yoda33]

Интересно способны ли подобного рода буткиты обнаружить и преодолеть защиту типа Shadow Defender?

[@nuklearlord]

В продолжении будет про буткиты, они загружаются ДО операционной системы, поэтому, я думаю, обойдут Shadow Defender. Защиту от установки подписанных драйверов TDSS (TDL-3) точно обходит.

[@savant]

А в EFI буткиты ещё не научились встраивать?

[@nuklearlord]

Лично я не слышал, но есть же концептуальное ВПО, заражающее BIOS, так что не думаю, что это очень сложно реализовать. Просто пока работают старые-добрые методы, в этом нет необходимости.

[@gjf]

На тему писалось много и самого разного уровня: от профессиональных обзоров, до статей для масс. Ещё раз попробуем свести всё вместе? Ну-ну…

TDL1 и TDL2 — уже история более чем трёхлетней давности. TDL3 тоже доживает свой век. Про TDL4, ZeroAccess и прочее злободневное (но тоже уже порядком изжёванное) — ни слова.

Давайте ещё про Win.CIH поговорим, чего уж там…

[@nuklearlord]

Об этом будет далее написано. Не хотите жевать — не жуйте =) Тут полно людей, которые с удовольствием почитают мою писанину. Собственно говоря, я и начал писать, потому что заеб устал искать, где все будет в одном месте написано. Особенно, если учесть, что большинство толковых отчетов — на английском языке.

[@gjf]

Плохо искали, значит. Начните с блогов Касперского и ДрВеба.

Впрочем, Вы правы: будем рассматривать Вашу статью как Ваш личный блокнот. Кому это будет интересно — посмотрим, оценка покажет.

Имхо, статья ни о чём — но это моё мнение.

[@nuklearlord]

<сарказм>Спасибо, что подсказали, не знал</сарказм> Ключевая информация — в одном месте, а не в десятках статей на нескольких сайтах.

[@SADKO]

Что же тут такого ключевого и нужного, что бы париться, собирать всё в одном месте?
Популярная беллетристика, не более того…

[@nuklearlord]

Большое спасибо. Не все же такие благодарные читатели, как вы. Кое-кто и мою « беллетристику» читает =)

[@cexmet]

очень нравится ваш цикл статей. продолжайте в том же духе, спасибо!

[@nuklearlord]

Уважаемые читатели, большое вам спасибо за поддержку. Естественно, на этом ресурсе есть пользователи, которым по каким-то причинам (каким, мне так никто и не высказал) не нравится мое творчество. Я здесь пишу не ради рейтинга или кармы. Во-первых, мне интересно в этом разбираться, причем не так детально, как описывают сотрудники антивирусных компаний. Во-вторых, я буду только рад, если кто-то начнет понимать какие-то моменты лучше. Конечно, мне немного неприятно, когда мои опусы называют никому не нужными, но по голосованию я вижу, что это не так. Так что, уважаемые товарищи критики, можете продолжать свои выпады. Только не отожествляете свое мнение с мнением большинства заинтересованных людей. А я продолжу растекаться словом по экрану ваших мониторов =)

[@fogx]

TDL-3 перехватывал обращения к диску и в случае просмотра его «личных» секторов возвращал их содержимое в исходном, неизмененном виде.

Где хранилось исходное содержимое перезаписаных секторов?

[@nuklearlord]

Да, здесь неоднозначность — если кто-то пытается прочитать содержимое зараженного драйвера – руткит возвращает данные соответствующие оригинальному, а если приложение пытается прочитать область данных файловой системы руткита, то он возвращает буфер, забитый нулями. Поправил, спасибо за вопрос.

[@vkrugoff]

Ссылка может вести как на вредоносный сайт (например, для установки другого ВПО)

Непонятно, зачем переадресовывать на сайт для загрузки впо, если можно выполнить команду DownloadAndExecute

[@nuklearlord]

Например, для организации партнерки — в случае, если у злоумышленников нет конечного exe файла для распространения, или этот файл должен меняться все время (в зависимости от географического расположения), или при использовании server-side полиморфизма. Таким образом, логика распространения переносится на сервер и нет необходимости постоянно менять боту свой конфиг. Кроме того, вредоносный сайт может не устанавливать ВПО, а использоваться как средство увода паролей, то есть представлять собой копию страницы авторизации легитимного сайта.