Найден способ перехвата управления при загрузке Windows 7 - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию
AM_Bot

Найден способ перехвата управления при загрузке Windows 7

Recommended Posts

AM_Bot

На конференции по безопасности Hack In The Box в Дубаи исследователи Випин и Нитин Кумар продемонстрировали метод захвата контроля над системой Windows 7 путем изменения процесса загрузки. Впрочем, для этого необходим физический доступ к компьютеру, что несколько снижает масштабы угрозы.читать дальше

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

В качестве дополнения к заметке

Выдержки из интервью с авторами VBootkit (буткит для Vista):

...Vbootkit очень похожа на дверь или на ярлык доступа к ядру Windows Vista. Загрузочный комплект - это набор ядра, который способен запуститься с загрузочных секторов (главная загрузочная запись, CD, PXE, флоппи-диск и т.п.) и полностью сохраниться в памяти через переход в защищенный режим, а затем запустить ОС. ... Vbootkit - это специальный буткит для Windows Vista.

...Он построен на "таранной" концепции. Так что он ни при каких обстоятельствах не касается жесткого диска и потому не оставляет никаких доказательств. Вам нужно только перезапустить систему, работающую с vbootkit, и он исчезнет, как будто его никогда и не было.

...он будет работать практически на всех выпусках Vista, в том числе и на локализованных, но это потребует небольшой настройки. Скорее всего, он будет поддерживать и Windows Vista Service Pack 1...

...мы не выложим код для vbootkit, но мы обеспечим им некоторых производителей антивирусов.

Однако, вы можете загрузить предыдущие версии буткита (для Windows 2000/XP/2003) с нашего сайта. Программный код также доступен.

Если вы интересуетесь демо-версией, то вы можете найти ее описание (PDF), слайдшоу с нашей презентации (PPT) и видео, показывающее vbootkit в работе (AVI 1, AVI 2)...

...В настоящее время многие антивирусные решения не сканируют загрузочные данные. Мы не получили от них никаких официальных комментариев...

...Нападающему необязательно его устанавливать, с этой целью его и разрабатывали. Надо всего лишь поместить носитель с vbootkit (в загрузочном секторе содержится vbootkit) в систему и начать загрузку. После того, как Windows Vista загрузится, вы можете проверить работу vbootkit, повысив изначально низкий уровень доступа cmd.exe до системного...

...Вот упрощенная последовательность действий:

BIOS --> код Vbootkit (с CD, PXE и т.п.) --> MBR --> загрузочный сектор NT --> Windows Boot manager --> загрузчик Windows --> ядро Windows Vista.

...vbootkit может быть использован как долгоживущий вирус для загрузочного сектора. Даже некоторые антивирусные производители перестали обращать внимание на вирусы для загрузочного сектора. Он может возобновить их использование.

Читать веб-документ >>>

Скачать PDF-документ для ознакомления >>>

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      Программа для удаления продуктов ESET обновилась до версии 9.0.8.0. Для просмотра всех команд запустите утилиту с параметром /help.
    • PR55.RP55
      И возможно добавить в Инфо. поддержку просмотра NTFS Alternate Data Streams Для получения доп. информации по файлам - автозапуска.    
    • santy
      RP55,  особого смысла в этом нет. Возможно, стоит добавить в эвристику программы добавление статуса "подозрительный" для файла размером (св. 500Мб или больше), если он  в автозапуске. Так как в некоторых случаях майнеры используют файлы больших размеров, чтобы обойти антивирусную защиту.
    • PR55.RP55
      При копировании известного файла файла uVS v5.0.RC2.v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] GATHERNETWORKINFO.VBS._628B6B4BF3CC7F77578CF3CCFCC587DBF9EC7E07 https://disk.yandex.ru/i/LpsxRQ6EMkF23w    
    • PR55.RP55
      При копирование файла в Zoo Операторы могут не обратить внимания на размер файла. Предлагаю при превышении лимита = 650mb добавить в Лог соответствующее предупреждение: Файл скопирован в ZOO; Превышен лимит virustotal.com Для чего ? Часто операторы предлагают поместить скопированный файл на сайт, или проверить его на V.T. а это потеря времени. Одна "ошибка" приводит к другой "ошибке"  
×