Тест на предотвращение проникновения в ring0 II (подготовка)

[Kopeicev 94]

Доброго времени суток, коллеги!

Возникла идея обновить тест на контроль проникновения в ring0

http://www.anti-malware.ru/hips_test_ring0

Предлагаю обсудить

[Сергей Ильин 1538]

Можно повторить этот тест в самое ближайшее время, как раз есть окно.

По прошлой методологии будет какие-то замечания?

[Kopeicev 94]

Думаю, стоит решить 2 вопроса:

1. Список продуктов.

2. ОС.

[Black Angel 125]

Было бы интересно сравнить результаты на х86 и х64. Но это наверно трудоемко.

[Dmitriy K 603]

По прошлой методологии будет какие-то замечания?

не включать у Оутпоста режим автообучения

будет ли отключено автосоздание правил? или это не играет особой роли?

[Сергей Ильин 1538]

не включать у Оутпоста режим автообучения smile.gif

А по умолчанию этот режим включен до сих пор?

[Dmitriy K 603]

А по умолчанию этот режим включен до сих пор?

В мастере установки будет выбор типа установки: обычная или расширенная. Если выберите расширенную, то не будет

[vaber 350]

не включать у Оутпоста режим автообучения smile.gif

Насколько я помню, это режим перед тестом отключался.

[Виталий Я. 859]

А по умолчанию этот режим включен до сих пор?

Там НЕТ УМОЛЧАНИЯ, есть выбор - простой режим или продвинутый. И этот выбор ОБЯЗАТЕЛЕН.

Не помню про автолерн, вроде отключали в дефолтном конфиге для простого.

[Андрей-001 1099]

Возникла идея обновить тест на контроль проникновения в ring0

Можно повторить этот тест в самое ближайшее время, как раз есть окно.

Было бы очень интересно, да и рейтинг бы порталу в целом подняло.

[Dmitriy K 603]

вроде отключали в дефолтном конфиге для простого

нет, в простом режиме автолерн (на неделю) включен

[Umnik 997]

В идеале стоит известные методы вредоносов представить в виде тестовых вредоносов и проверить на них.

[Сергей Ильин 1538]

В идеале стоит известные методы вредоносов представить в виде тестовых вредоносов и проверить на них.

Так это ... сигнатуры же спалят их.

[Umnik 997]

Ме-то-ды. Тесты Матусека же не палят, пока не провалят. Да и файловые АВ можно выключать.

[Сергей Ильин 1538]

В отчете описаны методы, которые проверились в тесте. Что-то нужно туда добавить из нового?

http://www.anti-malware.ru/hips_test_ring0

[Umnik 997]

Это экспертов спрашивать надо. Кстати, где они?

[zzkk 130]

Было бы интересно сравнить результаты на х86 и х64.

Это нужно сделать обязательно (если не хотим, чтобы у портала борода выросла ).

[dr_dizel 385]

Что-то нужно туда добавить из нового?

Патчинг и загрузка из mbr.

[Kopeicev 94]

Патчинг и загрузка из mbr.

Ну это получается надо либо буткит применять или как то повторять его технологию, что на мой взгляд сложно.

[sww 486]

В отчете описаны методы, которые проверились в тесте. Что-то нужно туда добавить из нового?

Дофига нового. И всегда были. Нереально без использования реальной малвары или без написания собственных тестов (аля Матусек) выдергивая способы из малвары. Ну, а про нахождение __своих__ способов я уж и не говорю

Поэтому тест будет уныл и неактуален, как мне кажется.

[dr_dizel 385]

Ну это получается надо либо буткит применять или как то повторять его технологию, что на мой взгляд сложно.

"Мы решили не моделировать проникновение в Ring 0 какими-либо искусственными средствами, а провести тест на реальных вредоносных программах."

Так актуален же tdss.mbr DeviceIoControl IOCTL_SCSI_PASS_THROUGH_DIRECT. Ну а если сложно, то зачем тогда браться за тест?

[Kopeicev 94]

SWW подскажи, а руткиты написанные под x86 работают на x64?

[Deja_Vu 366]

SWW подскажи, а руткиты написанные под x86 работают на x64?

Вроде как нет, но вот TDSS под x64 уже появился.

[Umnik 997]

sww

Дык, сделай красиво - подкинь тестовые тулзени.

[vaber 350]

Патчинг и загрузка из mbr. smile.gif

Патчинг чего? MBR? Так было в сравнении:

CreateFileA \\.\PhysicalDriveX - посекторное чтение/запись диска (модификация файлов или главной загрузочной записи диска).

Так актуален же tdss.mbr DeviceIoControl IOCTL_SCSI_PASS_THROUGH_DIRECT. Ну а если сложно, то зачем тогда браться за тест?

опять же - было. Чтобы заюзоть IOCTL_SCSI_PASS_THROUGH_DIRECT нужно открыть диск с правами на запись. Разница лишь в том, что в прошлом сравнении использовался мебрут с kernel32:CreateFileA, а в этом TDL ntdll:ZwOpenFile.