nuklearlord Dec 18 2012 at 16:42

Больше руткитов — «хороших» и разных. Part I

7 min

21K

Information Security*

+32

Comments 17

BlackSwan Dec 18 2012 at 16:59

Читая статью, вдруг подумал: а каково читать такое автору TDL и прочих зверушек? Что чувствуют? Гордость от того что их труды оказались живучи? Злость что их зверушку препарировали и выяснили то что они так хитро пытались спрятать? Или удовлетворение вида: «ха, а вы еще не всё знаете...»

А в целом статья познавательная, спасибо.

Yoda33 Dec 18 2012 at 17:05

Интересно способны ли подобного рода буткиты обнаружить и преодолеть защиту типа Shadow Defender?

nuklearlord Dec 18 2012 at 17:17

В продолжении будет про буткиты, они загружаются ДО операционной системы, поэтому, я думаю, обойдут Shadow Defender. Защиту от установки подписанных драйверов TDSS (TDL-3) точно обходит.

savant Dec 18 2012 at 17:23

А в EFI буткиты ещё не научились встраивать?

nuklearlord Dec 18 2012 at 17:26

Лично я не слышал, но есть же концептуальное ВПО, заражающее BIOS, так что не думаю, что это очень сложно реализовать. Просто пока работают старые-добрые методы, в этом нет необходимости.

gjf Dec 18 2012 at 17:32

На тему писалось много и самого разного уровня: от профессиональных обзоров, до статей для масс. Ещё раз попробуем свести всё вместе? Ну-ну…

TDL1 и TDL2 — уже история более чем трёхлетней давности. TDL3 тоже доживает свой век. Про TDL4, ZeroAccess и прочее злободневное (но тоже уже порядком изжёванное) — ни слова.

Давайте ещё про Win.CIH поговорим, чего уж там…

nuklearlord Dec 18 2012 at 17:38

Об этом будет далее написано. Не хотите жевать — не жуйте =) Тут полно людей, которые с удовольствием почитают мою писанину. Собственно говоря, я и начал писать, потому что ~~заеб~~ устал искать, где все будет в одном месте написано. Особенно, если учесть, что большинство толковых отчетов — на английском языке.

gjf Dec 18 2012 at 17:47

Плохо искали, значит. Начните с блогов Касперского и ДрВеба.

Впрочем, Вы правы: будем рассматривать Вашу статью как Ваш личный блокнот. Кому это будет интересно — посмотрим, оценка покажет.

Имхо, статья ни о чём — но это моё мнение.

nuklearlord Dec 18 2012 at 17:52

<сарказм>Спасибо, что подсказали, не знал</сарказм> Ключевая информация — в одном месте, а не в десятках статей на нескольких сайтах.

SADKO Dec 18 2012 at 20:05

Что же тут такого ключевого и нужного, что бы париться, собирать всё в одном месте?
Популярная беллетристика, не более того…

nuklearlord Dec 18 2012 at 21:51

Большое спасибо. Не все же такие благодарные читатели, как вы. Кое-кто и мою « беллетристику» читает =)

cexmet Dec 18 2012 at 22:41

очень нравится ваш цикл статей. продолжайте в том же духе, спасибо!

nuklearlord Dec 18 2012 at 22:57

Уважаемые читатели, большое вам спасибо за поддержку. Естественно, на этом ресурсе есть пользователи, которым по каким-то причинам (каким, мне так никто и не высказал) не нравится мое творчество. Я здесь пишу не ради рейтинга или кармы. Во-первых, мне интересно в этом разбираться, причем не так детально, как описывают сотрудники антивирусных компаний. Во-вторых, я буду только рад, если кто-то начнет понимать какие-то моменты лучше. Конечно, мне немного неприятно, когда мои опусы называют никому не нужными, но по голосованию я вижу, что это не так. Так что, уважаемые товарищи критики, можете продолжать свои выпады. Только не отожествляете свое мнение с мнением большинства заинтересованных людей. А я продолжу растекаться словом по экрану ваших мониторов =)

fogx Dec 19 2012 at 21:14

TDL-3 перехватывал обращения к диску и в случае просмотра его «личных» секторов возвращал их содержимое в исходном, неизмененном виде.

Где хранилось исходное содержимое перезаписаных секторов?

nuklearlord Dec 19 2012 at 22:06

Да, здесь неоднозначность — если кто-то пытается прочитать содержимое зараженного драйвера – руткит возвращает данные соответствующие оригинальному, а если приложение пытается прочитать область данных файловой системы руткита, то он возвращает буфер, забитый нулями. Поправил, спасибо за вопрос.

vkrugoff Dec 23 2012 at 03:51

Ссылка может вести как на вредоносный сайт (например, для установки другого ВПО)

Непонятно, зачем переадресовывать на сайт для загрузки впо, если можно выполнить команду DownloadAndExecute

nuklearlord Dec 23 2012 at 11:27

Например, для организации партнерки — в случае, если у злоумышленников нет конечного exe файла для распространения, или этот файл должен меняться все время (в зависимости от географического расположения), или при использовании server-side полиморфизма. Таким образом, логика распространения переносится на сервер и нет необходимости постоянно менять боту свой конфиг. Кроме того, вредоносный сайт может не устанавливать ВПО, а использоваться как средство увода паролей, то есть представлять собой копию страницы авторизации легитимного сайта.