Перейти к содержанию
vaber

NT Internals: тест антируткитов

Recommended Posts

vaber

Introduction:

Today's malware doesn't need to hide such things like processes or device drivers any more. Instead of hiding whole processes it can inject any code into target process(es). Malware also doesn't need to use DLL (Dynamic-Link Library) to inject this code. It's obvious why malware uses DLLs instead of more stealthy shellcode - both writing and injecting DLL into target process are easiest then writing portable shellcode. Considerable part of malware injects DLLs using common ways, smaller part of malware injects DLLs using own loaders. No matter how malware will inject their DLL into target process, without additional modifications it will be visible to everyone. To prevent detection of injected DLL, malware can unlink it from doubly-linked lists. This will avoid detection of hidden DLLs by the simplest software. Some of software querying virtual memory using NtQueryVirtualMemory service to obtain information about all images mapped into current process address space. Using this method security software can show unlinked DLLs. The easiest way to avoid this kind of detection is to intercept NtQueryVirtualMemory. Currently I don't know any malware which uses most effective DLL hiding method based on VADs (Virtual Address Descriptor) modifications (if someone have any sample please let me know). Almost all (system process) processes have their own VAD trees which contain descriptors of allocated virtual memory. Each of them (the valid once) corresponding to control area structure which contain pointer at file object and segment structures. I saw a Chinese solution how to avoid DLL detection by erasing file name within the confines of file object, but it wasn't the best solution. Owing to malware I will not provide detailed information about two last method I used in this test. I can only say that Invisible Dynamic-Link Library 1.0 doesn't use any hooks. I decided to use a device driver instead of direct kernel memory modification to manipulate the process object and its VAD tree.

Полный вариант:

http://www.ntinternals.org/dll_detection_test.php

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
kvit.v

Интересен тот факт, что ссылка на DrWeb ведет на этот сайт :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Introduction:

Today's malware doesn't need to hide such things like processes or device drivers any more. Instead of hiding whole processes it can inject any code into target process(es). Malware also doesn't need to use DLL (Dynamic-Link Library) to inject this code. It's obvious why malware uses DLLs instead of more stealthy shellcode - both writing and injecting DLL into target process are easiest then writing portable shellcode. Considerable part of malware injects DLLs using common ways, smaller part of malware injects DLLs using own loaders. No matter how malware will inject their DLL into target process, without additional modifications it will be visible to everyone. To prevent detection of injected DLL, malware can unlink it from doubly-linked lists. This will avoid detection of hidden DLLs by the simplest software. Some of software querying virtual memory using NtQueryVirtualMemory service to obtain information about all images mapped into current process address space. Using this method security software can show unlinked DLLs. The easiest way to avoid this kind of detection is to intercept NtQueryVirtualMemory. Currently I don't know any malware which uses most effective DLL hiding method based on VADs (Virtual Address Descriptor) modifications (if someone have any sample please let me know). Almost all (system process) processes have their own VAD trees which contain descriptors of allocated virtual memory. Each of them (the valid once) corresponding to control area structure which contain pointer at file object and segment structures. I saw a Chinese solution how to avoid DLL detection by erasing file name within the confines of file object, but it wasn't the best solution. Owing to malware I will not provide detailed information about two last method I used in this test. I can only say that Invisible Dynamic-Link Library 1.0 doesn't use any hooks. I decided to use a device driver instead of direct kernel memory modification to manipulate the process object and its VAD tree.

Полный вариант:

http://www.ntinternals.org/dll_detection_test.php

Не понял... Откуда в тесте взялся Dr.Web DwShark 1.0.0.11140, если его в релизе, насколько я помню, нет? И ссылка на его загрузку ведёт не на ресурсы drweb.com-а, а на anti-malware.ru, т.е. не на сайт производителя.... :blink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
kvit.v
Не понял... Откуда в тесте взялся Dr.Web DwShark 1.0.0.11140, если его в релизе, насколько я помню, нет? И ссылка на его загрузку ведёт не на ресурсы drweb.com-а, а на anti-malware.ru, т.е. не на сайт производителя.... :blink:

его и не было в паблике, эту версию тут выложили в своё время...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Black_Z
Не понял... Откуда в тесте взялся Dr.Web DwShark 1.0.0.11140, если его в релизе, насколько я помню, нет? И ссылка на его загрузку ведёт не на ресурсы drweb.com-а, а на anti-malware.ru, т.е. не на сайт производителя....

Да, это странно...

И результаты некоторых антируткитов не сильно радуют, откровенно говоря о GMER был лучшего мнения.. :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Да, это странно...

А вот и автор "следа" нашёлся. Просьба администрации портала принять меры -- продукт не находится в официальном релизе, соответственно, распространению не подлежит.

И результаты некоторых антируткитов не сильно радуют, откровенно говоря о GMER был лучшего мнения.. :rolleyes:

Напишите Пржемуславу...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
kvit.v
А вот и автор "следа" нашёлся. Просьба администрации портала принять меры -- продукт не находится в официальном релизе, соответственно, распространению не подлежит.

так Вы же сами там обсуждали утилиту в своё время ;) а убирать смысла уже нет, она сама скоро состарится...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
так Вы же сами там обсуждали утилиту в своё время ;) а убирать смысла уже нет, она сама скоро состарится...

Обсуждал, и не отрицаю этого. Но, раз утиль пошла участвовать в тестированиях -- это уже неправильно.

Но, да, соглашусь, мне нужно было ещё тогда попросить убрать файлы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
kvit.v

а у аваста обнаружил кстати ложное срабатывание:

31.10.2009 17:13:05 SYSTEM 1720 Sign of "Win32:Trojan-gen" has been found in "C:\Users\89\AppData\Local\Temp\Rar$EX00.650\RkU3.8.380.580.exe\{app}\RkUnhookerLE.exe\[PECompact]" file.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Просьба администрации портала принять меры -- продукт не находится в официальном релизе, соответственно, распространению не подлежит.

Не вижу взаимосвязи "не находится в официальном релизе" и "распространению не подлежит".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Интересная штука. Бесплатный пиар для дрвеп, чем тебе это не нравится Миша? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Интересная штука. Бесплатный пиар для дрвеп, чем тебе это не нравится Миша? :)

А зачем он им? :)

Я ещё немного под другим углом смотрю, исходя из показанных результатов (раз уж тест состоялся) -- те, кто в своё время писали Шарк, делали всё правильно. Имена тех, кто его писал -- известны (одно -- так уж точно! ;)). Дык кому пиар в конечном итоге-то? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
А зачем он им? :)

Даже не знаю что и сказать :)

Я ещё немного под другим углом смотрю, исходя из показанных результатов (раз уж тест состоялся) -- те, кто в своё время писали Шарк, делали всё правильно. Имена тех, кто его писал -- известны (одно -- так уж точно! ;)). Дык кому пиар в конечном итоге-то? :)

Славе и Вадиму? :) Да не, скорее все-таки дрвеп. Если бы мы тулзу назвали VDR&SWW Shark, то конечно тут пиар был бы нам, а так...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
3TE116

О MalwareDefender 2.4.3 я был хорошего мнения.Странно,что так вышло.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Там MD не антируткит

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ASMax

Как я понимаю, банальнейший способ загрузки dll при помощи собственного лоадера они решили не тестировать? Занятно. :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Что-то GMER реально провалился.

А вот RkU подтрвердил звание сильнейшего антируткита.

Может это исследование перевести на опубликовать на сайте? Что думаете, интересно это будет?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
Может это исследование перевести на опубликовать на сайте? Что думаете, интересно это будет?

Будет интересно, правда простой копипаст достоин портала? Может нашим гуру есть что и самим сказать по этому поводу? Ведь выбрали экспертов, а они на полках пылятся.

Меня вот больше всех удивил VMMap т.к. он не позиционировался как что-то относящееся к антируткитам.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Может это исследование перевести на опубликовать на сайте? Что думаете, интересно это будет?

Это всего-лишь детект скрытой длл-ки в памяти, имхо не стоит даже перевода.

@dr_dizel: когда сказать нечего, лучше молчать, не так ли?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Будет интересно, правда простой копипаст достоин портала? Может нашим гуру есть что и самим сказать по этому поводу? Ведь выбрали экспертов, а они на полках пылятся.

Есть у кого-то из экспертов желание сделать креатив (мини-тест или серию мини-тестов) технологий обнаружения руткитов?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
Это всего-лишь детект скрытой длл-ки в памяти, имхо не стоит даже перевода.

Размер маленький, зато результат какой на позавчерашний день. Тест говорит сам за себя - все гореутилиты "фтопку".

@dr_dizel: когда сказать нечего, лучше молчать, не так ли?

Что-то вы последнее время озабочены моей персоной. В танке плохо слышно? :) Лучше бы тест замутили.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Размер маленький, зато результат какой на позавчерашний день. Тест говорит сам за себя - все гореутилиты "фтопку".

Вы совершенно не в теме. Тест об этом не говорит.

Что-то вы последнее время озабочены моей персоной. В танке плохо слышно? :) Лучше бы тест замутили.

В танке, по-моему, едете вы, самоизбранный независимый эксперт, пишущий анти-руткиты на батниках. Мне кажется, что модераторы до вас доберутся, любитель нелепых фраз, тролль и фантазер.

До теста мне нет никакого дела.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Перепалки в PM! :angry:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
Перепалки в PM! :angry:

Так человек просто открыто врёт. По теме строит Станиславского с умным видом, затыкает другим рот и касательно дел портала ему "нет никакого дела".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Nabl
Что-то GMER реально провалился.

А вот RkU подтрвердил звание сильнейшего антируткита.

Может это исследование перевести на опубликовать на сайте? Что думаете, интересно это будет?

Итак в сообщении 3 предложения.

Начинаем разбор с конца.

(орфографию и грамматику - нафик, сам не отличник) B)

... интересно это будет?

Да, будет. Но справильными комментариями.

А вот RkU подтрвердил звание сильнейшего антируткита.

когда Vaber опубликовал новость, RkU и GMER тест слили по полной

(в кэше Google'я можно найти или 3836047.jpg).

Получалось, что DiabloNova (автор RkU и SpiDie) слил DrWeb'у. Нехорошо. :angry:

DiabloNova "исправился", "подкрутил" RkU и его "небольшой холивар" продолжается. :rolleyes:

но

Что-то GMER реально провалился.

и тогда и сейчас тестилась версия 1.0.15.15163.

актуальная версия GMER'a - 1.0.15.15252.

Так, что Ваш пост наверно должен быть примерно таким:

Обновились результаты теста. К наиболее продвинутым утилитам, Dr.Web DwShark и RootRepeal, с механизмом "Hidden Dynamic-Link Library Detection" добавился RkU.Актуальная версия GMER'a не тестировалась.
  • Upvote 20

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Dmitrius
      Сервис подбора и сравнение кредитов Случается так, что деньги нужны срочно. Поэтому если у вас нет накоплений, рациональней всего обратиться за помощью на этот сайт, где собраны надежные, проверенные банки, которым точно можно доверять. Учреждения подготовили лучшие предложения, которые только возможны. На этом сайте есть возможность подобрать кредит, а также оформить займ либо взять деньги на приобретение автомобиля. И самое главное, что все это на наиболее выгодных для вас условиях. Автокредит Казахстан проценты - это шанс купить все, что нужно, не отказывая себе в покупке. Все банковские продукты различаются требованиями, условиями выдачи, а потому рекомендуется детально изучить условия договора и особенности выдачи денежных средств. Потребительский кредит оформить (рассчитать) в Алматы получится в данный момент. На этом сайте вы сможете не только подобрать подходящий вариант, но и сравнить имеющиеся. Затем следует определиться с тем, в какой банк обратиться за материальной поддержкой. Составить заявку на выдачу средств можно в режиме реального времени. Кредит наличными заявка онлайн выдается в течение часа наиболее комфортным для вас способом. На портале опубликован список всех доступных предложений, имеется необходимая информация о каждом банке и кредитах. Выберете самую низкую процентную ставку, а также сумму и сроки, на которые планируете занять сумму. Все максимально просто, быстро и понятно. Ипотека проценты Казахстан (ипотека Казахстан) - это отличная возможность решить свои жилищные проблемы. Важно помнить о том, что лишь надежные компании с огромным опытом готовы предложить приемлемые условия. Выберете подходящий для себя банковский продукт, чтобы поправить материальное положение.
    • Dmitrius
      Интернет магазин автозапчастей  Интернет-магазин «AUTOSHOP» реализует внушительный выбор деталей на автомобили - их можно подобрать не только по наименованию, но и артикулу и другим параметрам. Имеются разные запчасти на любые автомобили самых разных марок и моделей - вы сможете их найти в один клик. Запчасти находятся на складе - это дает возможность осуществить быструю транспортировку. Сотрудничество исключительно с надежными, проверенными поставщиками, которые работают на совесть и предлагают продукцию безупречного качества и с длительными эксплуатационными сроками. Автозапчасти интернет магазин для иномарок рекомендует ознакомиться с полным ассортиментом – он даст возможность подобрать вариант с учетом обозначенных требований. Перед тем, как осуществить приобретение, необходимо детально изучить технические аспекты, ведь именно они влияют на сроки эксплуатации и внешний вид авто. Но если вам требуется помощь специалиста, то вы всегда можете воспользоваться профессиональной консультацией. Автозапчасти для иномарок Курск вы обязательно подберете для любой машины, несмотря на год производства. Изучите справочник автотоваров, каталог, а также новости, представленные на данную тематику - информация поможет принять правильное решение. Сотрудники интернет-магазина быстро реагируют на появление новых деталей в европейских магазинах для того, чтобы в ближайшее время пополнить ими свой ассортимент. Это даст возможность быстро среагировать за изменяющуюся ситуацию. Каталог автозапчастей Курск содержит огромный перечень деталей. Они созданы в соответствии с самыми высокими стандартами, нормами, требованиями. Администрация проверяет запчасти на соответствие заданным характеристикам, поэтому в продажу попадает только та продукция, которая имеет сопроводительную документацию, сертификаты. На продукцию есть гарантии, подтверждающие безупречное качество, оригинальность.
    • JamesBisee
      Купить газовый котел с закрытой камерой сгорания в Москве
      https://www.fire-flower.ru/
      https://www.google.tg/url?q=https://fire-flower.ru
    • PR55.RP55
      По всей видимости uVS не всегда может получить доступ к: Hosts Нужно чтобы в Лог писалась информация: "Нет доступа  к Hosts " Вроде сейчас uVS  соответствующих записей не создаёт?
    • Dmitrius
      Канализация из септиков под ключ На предприятии каждый сможет заказать установку септиков, созданных из ЖБ конец - они не только практичны, но и отличаются безукоризненным качеством. Ищите где заказать монтаж септика астра - получите всю необходимую информацию на сайте. Важным моментом является то, что услуги оказываются на должном, профессиональном уровне. Это достигается за счет того, что в бригаде трудятся специалисты, которые знают все особенности своей работы. При этом стоимость работ остается на доступном уровне. Огромный стаж работы позволил приобрести большое количество клиентов – они советуют предприятие знакомым. Бетонные септики пользуются популярностью не только за счет своей небольшой стоимости, но и благодаря прочности, а также невосприимчивы к негативным условиях среды, они не нуждаются в сервисном обслуживании. И самое важное, что установка проводится на грунте любого типа. Такой вид септика считается самым быстрым способом организовать очистное сооружение на дачном участке. Сотрудники предприятия специально для вас подготовят предложение, произведут расчеты, грамотно расположат септик, а заодно и закупят все необходимые материалы по доступным ценам, выполнят доставку и монтажные работы. На все, включая материалы, предоставляются гарантии. Услуги оказываются не только по столице, но и области, на любом грунте: песке, глине и др. Монтаж септиков различной сложности, а также с подключением бани или дачи, переливом, любых соединений. Есть возможность вызвать целую бригаду специалистов на малый участок либо дачу, на которой вы проживаете время от времени или постоянно. Монтажные работы в ограниченные сроки. Во время монтажных работ учитывается то, сколько человек проживает в доме, особенности – о них поведает консультант. Теперь и вы сможете заказать высококлассные работы.
×