Перейти к содержанию
Сергей Ильин

Мифы о 7-ми популярных антируткитах или как поймать невидимк

Recommended Posts

Сергей Ильин

Коллеги, специалисты S.N Safe&Software - Денис Шавровский и Юрий Ромащенко, написали замечательный технический обзор/сравнение 7-ми современных программ для борьбы с руткитами, который мы у нас с радостью опубликовываем: :thanks:

Мифы о 7-ми популярных антируткитах или как поймать невидимку

В статье рассматриваются такие антируткиты как:

    RootkitRevealer, AVZ (антивирусная утилита Олега Зайцева),
    Process Hunter,
    F-Secure BlackLight Rootkit Eliminator,
    UnHackMe,
    IceSword,
    Microsoft Windows Defender
    System Virginity Verifier
      Производится анализ слабых и сильных сторон этих программ, а также способы и возможности противостояния руткитам в целом.
      Очень рекомендую для ознакомления! :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn

Вот те и раз.Жаль,что другие антивирусы не описаны,которые думают вслух,что руткитов ловят.Заодно бы и узнали,есть ли в этом случае смысл в загрузочном диске.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber

Я считаю, что нельзя сделать антируткит, который обнаруживал все варианты руткитов. Все-равно под любую прогу (антируткит) мона специально сделать руткит, который она не будет детектить. Никто не будет придумывать обход малоизвестного антируткита. Да и AVZ перехватывает далеко не только те функции, которые используют легетимные продукты (Касперский например). На сайте www.virusinfo.info можно убедиться в том, что AVZ обнаруживает перехваты современных руткитов (например, Trojan.PWS.GoldSpy).

Интересно было бы почитать их мнение по поводу работы Sophos Anti-Rootkit http://www.sophos.com/products/free-tools/...ti-rootkit.html

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Прибочий Михаил

Я считаю, что нельзя сделать антируткит, который обнаруживал все варианты руткитов.
Цитата в тему: "По ракетам и антиракетам анти-антиракеты неслись" By Визбор, тот самый (196.. год).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович

Статья, скорее, для просвещения новичков. На глубокий анализ для профи не тянет- всё достаточно банально.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Phoenix

Но и такие обзорные статьи тоже полезны.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
На глубокий анализ для профи не тянет- всё достаточно банально.

Илья, а что можно было бы добавить в такой обзор, чтобы повысить его уровень? Чтобы он стал "для профи"?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович

Ну, например, разбор методов детектирования скрытых ключей реестра, файлов, процессов и загруженных объектов ядра, используемых каждым конкретным инструментом с обсуждением слабых моментов реализации и идеологии. В данной статье всё это сделано достаточно поверхостно и вскользь. Также нет обзора ITW-руткитов и сравнительного анализа существующих антируткитов на эффективность детектирования, поскольку теоретически обойти можно любой антируткит, но мы живём в реальном мире и сталкиваемся с реальными угрозами и руткитами.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×