Обновленный руткит TDL4 обходит новый патч Microsoft

Обновленный руткит TDL4 обходит новый патч Microsoft

Разработчики одного из самых современных руткитов TDL4, способного инфицировать 64-битные системы Windows, выпустили обновление в ответ на патч Microsoft, мешающий его работе.

12 апреля, компания Microsoft выпустила патч, специально разработанный для отключения защитного механизма руткита TDL4.

По умолчанию 64-битные версии систем Windows 7 и Vista позволяют использовать драйверы только с цифровой подписью, поэтому подавляющее большинство руткитов не может функционировать на таких системах.

Отличие руткита TDL4 заключается в том, что он исправляет данные конфигурации загрузки Windows (Boot Configuration Data) в режиме реального времени, что позволяет ему обходить сигнатурный анализ драйверов операционной системы.

Обновление Microsoft KB2506014 включает изменение размера таблицы экспорта файла kdcom.dll, т.к. программа TDL4 проверяет его значение для определения необходимости замены файла своей версией. Обновленная версия руткита больше не выполняет проверку размера этого файла. Вместо этого TDL4 исправляет процедуру проверки цифровой подписи Windows для kdcom.dll, чтобы вернуть ошибку, которую система не распознает, вынуждая продолжать обычную загрузку программы TDL4.
Кроме того, разработчики TDL4 также изменили способ захвата руткитом системного минипорта, метод, который позволял антивирусным программам обнаруживать его присутствие.

По словам Марко Джулиани (Marco Giuliani), специалиста в области безопасности компании Prevx, известно, что руткит TDL4 устанавливает свой образец драйвера минипорта и подключает DR0 устройство через свой драйвер-фильтр. Такая система позволяла многим утилитам обнаруживать активность руткита в системе. Новый TDL4 удаляет любое упоминание о своем присутствии, тем самым, не оставляя следов, обходит большинство технологий по его обнаружению. 


Подпишитесь на новости

Операторы пригрозили заглушить звонки крупнейших банков с 15 октября

Клиенты крупнейших российских банков могут внезапно перестать получать звонки от службы безопасности, поддержки и кол-центров. Операторы большой четвёрки предупредили: с 15 октября вызовы без обязательной маркировки могут не дойти до абонентов.

Как сообщает «Коммерсантъ», под блокировку рискуют попасть звонки Альфа-Банка, ВТБ, Газпромбанка, «Ренессанс Кредита», Сбербанка, Совкомбанка и Т-Банка.

Операторы утверждают, что эти организации не заключили договоры на маркировку либо подписали их, но не выполняют условия.

Минцифры уже попросило Центробанк вмешаться. По данным ведомства, после введения обязательной маркировки число спам-звонков сократилось на 25-30%.

Более 90% банковских организаций и почти все компании из других отраслей договоры с операторами уже оформили. А вот крупнейшие игроки, генерирующие львиную долю вызовов, решили пободаться за трактовку закона.

Цена вопроса — около 30 копеек за каждую попытку звонка, даже если клиент не поднял трубку. Банки считают, что маркировку должны обеспечивать сами операторы, и оценивают общие расходы отрасли в миллиарды рублей ежегодно. Телеком-компании отвечают просто: не хотите маркироваться — ваши звонки никуда не дойдут.

Масштабы обзвона впечатляют. Только за месяц Альфа-Банк совершил через сеть одного оператора 43 млн вызовов, Совкомбанк — 22,7 млн, ВТБ — 9 млн, Т-Банк — 6 млн, а Сбербанк — 5,7 млн. По оценке источника издания, на крупнейшие банки приходится 95% банковского спама.

Но вместе с рекламой под цифровую гильотину способны попасть предупреждения о подозрительных операциях и запросы на подтверждение платежей.

RSS: Новости на портале Anti-Malware.ru