Перейти к содержанию

Recommended Posts

priv8v

Казалось бы, что о user-mode руткитах уже все давно сказано, и добавить тут нечего. С распространением зловредных драйверов все внимание антивирусных специалистов и хакеров переключилось туда, поэтому ring-3, по крайней мере, на три года остался практически без внимания… А зря. Появились новые технологии, новые методы защиты и нападения. Если задуматься, то изменились даже некоторые цели у конкретных технологий, поменялось поведение зловредов на компьютере, изменился и их внешний облик – теперь некоторые из них имеют красивые кнопочки и «ищут вирусы». На этой ноте стоит прекратить ностальгировать и приступить непосредственно к изложению темы.

Открыв любую статью пятилетней давности про руткиты можно прочитать о том, что использование rootkit-технологий имеет перед собой две цели: скрытие вредоноса на ПК и усложнение его удаления (второе является следствием первого). На сегодняшний день эта информация неактуальна: удалить библиотеку/ехе-файл с диска (при условии его сигнатурного детектирования) для нормального антивируса не является проблемой, а найти его… собственно, его искать и не требуется, при работе с уровня ядра антивирус даже не будет и подозревать, что это скрытые файлы. В таком случае можно задаться вопросами:

- зачем применять сегодня user-mode руткиты?

- целесообразно ли это?

- а они часом не вымерли?

Читать далее...

Собственно, предлагаю обсудить статью :)

Кто что думает?

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
felize

мало о руткитах :huh: статья как то резко обрывается в конце

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
strat

опечатка

Поэтому без чего-то нового наедятся скрыться

по статье - интересно, интересно и раз, закончилось... согласен с предыдущим постом. а по теме это пусть эксперты выскажутся, когда и как они будут закрывать эти уязвимости

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
felize

юзермод оправдывает себя в лоадерах, да и проблем с ним меньше чем при ядерном

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
а по теме это пусть эксперты выскажутся, когда и как они будут закрывать эти уязвимости

Никак не будут. Тема не актуальна. Пока что-то из описанного не начнут всерьез использовать табуны малвари, никаких телодвижений не будет со стороны разрабов. По сути, статья написана в стиле "ыы! смотрите, что я придумал/нашел прикольного/красивого" :)

Покритиковали бы, или тоже поделились чем-нибудь прикольным ))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      ---------------------------------------------------------
       4.11.8
      ---------------------------------------------------------
       o Управление DNS логом вынесено в отдельные твики, #41 и #42.
         DNS лог работает начиная с Win8 (в ограниченном виде) и с Win8.1 в полном.
         Отключение ведения лога происходит мгновенно во всех системах кроме Windows 10,
         в последнем случае необходимо перезагрузить систему после 42 твика.
         (Win7 и ниже не поддерживается).  
    • demkd
      да, выглядит странно, может быть CommandLineEventConsumer чем-то уже удален, антивирус какой-нибудь неаккуратно поработал.
    • santy
      здесь почему то нет потребителя события c5br1lMhB Consumer = "CommandLineEventConsumer.Name=\"c5br1lMhB\"" что это может быть? скрипт, который был недоступен на момент создания образа? запуск майнера был: C:\Windows\System32\rundll32.exe -o pool.supportxmr.com:443 -u 44EspGiviPdeZSZyX1r3R9RhpGCkxYACEKUwbA4Gp6cVCzyiNeB21STWYsJZYZeZt63JaUn8CVxDeWWGs3f6XNxGPtSuUEX -k --tls -p MOON но чем был вызван запуск - не смогли отследить. (зачистили без regt 39)                              IZTVMAIL01_2021-07-30_07-26-53_v4.11.6.7z
    • demkd
      привет, любой запуск процесса отслеживается, не важно что его запустило, дополнительно в wmi-activity разве что dll можно считать, которые подсаживались в wmiprvse.exe, толку только от этого.
    • santy
      Привет. Возможен ли расширенный мониторинг создаваемых процессов через подписки WMI, аналогично тому, как это выполняется сейчас в uVS через твик 39? (т.е. доп. события пишутся системой в лог WMI-Activity.evtx и затем экспортируются нужное в образ автозапуска) или это уже работает сейчас?  
×