Сегодня написал обзорную статью о новом витке развития нашумевшего руткита TDL3, который на долго поселился в головах исследователей из антивирусных компаний. TDL3 считается одним из самых передовых творений разработчиков руткитов на сегодняшний день. О нем писали очень много, одни из последних публикаций это отчет о нашем исследовании этого руткита и статья "TDSS: полное раскрытие" от eSage Lab.
Интересную статистику (по распространению всего семейства) по сабжу показала MS:
Как мы видим присутствует явное доминирование платформы WinXP и в новой версии авторы видимо решили исправить такое положение дел. Кол-во инсталляций Win7 x64 постоянно растет и теперь есть механизмы, позволяющие инсталлировать руткиты и на эту платформу.
Концепт (Disable PatchGuard & Driver signature enforcement) механизма обхода проверки подписи в x64 появился еще в начале года в публичном доступе, но авторами помимо предложенного в нем механизма используется еще вызов недокументированной функции IoCreateDriver(), которая собственно и позволяет выполнить вредоносный драйвер (про это есть немного тут).
что могу сказать, пророчество Рутковской сбываются...
ОтветитьУдалитьИнтересно посмотреть будет на развитие нового TDL через пару месяцев. Я думаю это пока только пробы пера :)
ОтветитьУдалитьПричем тут IoCreateDriver и паблик код, вы хотя бы ковыряли их 16битный загрузчик ? CodeIntegrityCheck тут совершенно не причем, он проверяеться только на vista sp0 и универсального метода не дает, это даже не PoC.
ОтветитьУдалитьЯ ковырял несколько сэмплов TDL4 и загрузчик из MBR тоже, а публичный код приведен в качестве примера (его работу я не проверял). Я не совсем понял вашего вопроса, с чем вы собственно не согласны?
ОтветитьУдалитьНу а как вам это: "IoCreateDriver(), которая собственно и позволяет выполнить вредоносный драйвер". По этой теме в основном пишут какой-то бред + все суют неработающие "паблик примеры". Всех вводит в ступор их ldr16 как я посмотрю. Я ковырял и идея то там совсем в другом... Буду писать свою статью в общем, пролью свет, так сказать...
ОтветитьУдалитьИнтересно, поделитесь ссылкой, как будет готова статья;)
ОтветитьУдалить