Перейти к содержанию

Recommended Posts

priv8v

Казалось бы, что о user-mode руткитах уже все давно сказано, и добавить тут нечего. С распространением зловредных драйверов все внимание антивирусных специалистов и хакеров переключилось туда, поэтому ring-3, по крайней мере, на три года остался практически без внимания… А зря. Появились новые технологии, новые методы защиты и нападения. Если задуматься, то изменились даже некоторые цели у конкретных технологий, поменялось поведение зловредов на компьютере, изменился и их внешний облик – теперь некоторые из них имеют красивые кнопочки и «ищут вирусы». На этой ноте стоит прекратить ностальгировать и приступить непосредственно к изложению темы.

Открыв любую статью пятилетней давности про руткиты можно прочитать о том, что использование rootkit-технологий имеет перед собой две цели: скрытие вредоноса на ПК и усложнение его удаления (второе является следствием первого). На сегодняшний день эта информация неактуальна: удалить библиотеку/ехе-файл с диска (при условии его сигнатурного детектирования) для нормального антивируса не является проблемой, а найти его… собственно, его искать и не требуется, при работе с уровня ядра антивирус даже не будет и подозревать, что это скрытые файлы. В таком случае можно задаться вопросами:

- зачем применять сегодня user-mode руткиты?

- целесообразно ли это?

- а они часом не вымерли?

Читать далее...

Собственно, предлагаю обсудить статью :)

Кто что думает?

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
felize

мало о руткитах :huh: статья как то резко обрывается в конце

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
strat

опечатка

Поэтому без чего-то нового наедятся скрыться

по статье - интересно, интересно и раз, закончилось... согласен с предыдущим постом. а по теме это пусть эксперты выскажутся, когда и как они будут закрывать эти уязвимости

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
felize

юзермод оправдывает себя в лоадерах, да и проблем с ним меньше чем при ядерном

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
а по теме это пусть эксперты выскажутся, когда и как они будут закрывать эти уязвимости

Никак не будут. Тема не актуальна. Пока что-то из описанного не начнут всерьез использовать табуны малвари, никаких телодвижений не будет со стороны разрабов. По сути, статья написана в стиле "ыы! смотрите, что я придумал/нашел прикольного/красивого" :)

Покритиковали бы, или тоже поделились чем-нибудь прикольным ))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×