Руткит TDL нашел новый способ инфицировать 64-битные версии Windows

Руткит TDL нашел новый способ инфицировать 64-битные версии Windows

Вредоносное программное обеспечение, которое в течение нескольких лет было одной из наиболее существенных угроз для пользователей 32-битных версий ОС Windows, теперь в состоянии поражать 64-битные выпуски - в том числе и Windows 7 64-bit, которую можно назвать самой защищенной системой в каталоге Microsoft, - как минимум двумя способами.



Microsoft ввела в свои операционные системы несколько дополнительных контуров защиты, которые нацелены именно на противодействие руткит-технологиям. Тем не менее, согласно результатам исследований, проведенных компанией GFI Software, последняя версия установщика TDL4 умеет обходить политику проверки подписей драйверов, защищающую нулевое кольцо от недоверенного кода. Напомним, что эта политика разрешает установку драйверов только в том случае, если у них имеется цифровая подпись, выданная надежным источником.


Сообщается, что обход системы защиты достигается за счет модифицирования загрузочного сектора жесткого диска, так что перед запуском операционной системы исполняется вредоносный код. Руткит изменяет значение параметра конфигурации LoadIntegrityCheckPolicy, отвечающего за уровень строгости проверки подписей; в результате этих действий устанавливается самый низкий уровень верификации, что позволяет успешно загрузить неподписанный файл руткита.


Ранее компания Prevx отмечала, что TDL способен обходить и другой контур защиты - систему PatchGuard, которая призвана не допускать вредоносных модификаций ядра операционной системы. Для этого он использует тот же самый прием - изменение MBR и получение доступа к процедурам автозапуска операционной системы.


Специалисты Prevx уверены, что в актуальной вирусной среде нет более технически совершенного руткита, нежели TDL. У него есть функционал удаленного управления, позволяющий загружать, устанавливать и обновлять другое вредоносное ПО (например, кейлоггеры); после внедрения в систему он успешно скрывается от большинства антивирусных программ и пакетов; используя низкоуровневые инструкции, он выводит из строя различные отладчики, усложняя тем самым исследовательскую работу антивирусных специалистов.


The Register

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

На OFFZONE 2025 говорили об угрозах, ИИ и атаках на цепочки поставок

21–22 августа пространство GOELRO стало местом, где снова встретились свои. Шестой раз подряд OFFZONE — конференция по практической кибербезопасности — объединяет тех, кто формирует культуру offensive security в России. В этом сезоне: 2500 участников, более 120 спикеров, 23 бизнес-партнёра, 9 медиа и 13 представителей комьюнити.

Официальную программу открыл Евгений Касперский с докладом о кибериммунитете:

«Каждый день появляется полмиллиона новых зловредов. За два дня OFFZONE — это миллион. При таких объёмах нужна не просто защита, а архитектура, которую невозможно взломать без неприемлемого ущерба».

Прямая речь и параллельные треки

Доклады шли в семь потоков. На Main track и Fast track эксперты обсуждали уязвимости в парсерах, пентест Wi‑Fi, использование AI и ML в кибербезопасности, ключевые тренды, опыт расследования инцидентов, а также разные вопросы, связанные с киберинцидентами.

В AI.Zone обсуждали, как ИИ трансформирует защиту и атаку.

«ИИ используют не только защитники, но и атакующие — и порой эффективнее», — отметил Михаил Сидорук из BI.ZONE. — «Важно говорить о рисках до того, как они реализуются».

В AppSec.Zone говорили об архитектурной безопасности приложений.

«Чтобы защищаться эффективно, нужно думать как хакер, — подчеркивает Илья Шабанов, генеральный директор AM Media. — «И OFFZONE даёт эту среду — с инженерной страстью и фокусом на уязвимости».

 

Threat.Zone сосредоточился на аналитике угроз. В центре — исследование теневых ресурсов BI.ZONE «Threat Zone 2025: обратная сторона». В его рамках эксперты проанализировали более 5000 сообщений форумов и телеграм-каналов, связанных с киберпреступностью, за 2024-й и первую половину 2025 года.

«Мы наблюдаем сдвиг: от атак на периметр — к атакам на идентификацию и цепочки поставок», — пояснил Александр Каледа, CISO Яндекса. — «Старый подход — это “забор”. А периметра давно нет. Сегодня защита строится иначе: доступ, авторизация, логирование, контроль».

AntiFraud.Zone тестировал антифрод-алгоритмы на ботах. В Community track говорили про CTF, багбаунти и железо. Павел Блинников из BI.ZONE напомнил: «99% облаков работают на гипервизорах, и большинство из них написаны на небезопасных языках. Исследования в этой зоне только начинаются».

OFFZONE как культурный код индустрии

Помимо докладов, были квизы, задачки, офкоины, кастомизация бейджей и даже татуировки. 21 участник набил логотип OFFZONE и получил пожизненный вход на будущие мероприятия.

«OFFZONE — это не просто конференция. Это место, где индустрия говорит откровенно. Где можно встретить коллег, обменяться опытом и задать неудобные вопросы», — говорит Евгений Волошин, директор по стратегии BI.ZONE.

OFFZONE 2025 показал: диалог стал глубже, технологии сложнее, а сообщество — зрелее. И это только начало нового сезона.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru