Руткит TDL нашел новый способ инфицировать 64-битные версии Windows

Руткит TDL нашел новый способ инфицировать 64-битные версии Windows

Вредоносное программное обеспечение, которое в течение нескольких лет было одной из наиболее существенных угроз для пользователей 32-битных версий ОС Windows, теперь в состоянии поражать 64-битные выпуски - в том числе и Windows 7 64-bit, которую можно назвать самой защищенной системой в каталоге Microsoft, - как минимум двумя способами.



Microsoft ввела в свои операционные системы несколько дополнительных контуров защиты, которые нацелены именно на противодействие руткит-технологиям. Тем не менее, согласно результатам исследований, проведенных компанией GFI Software, последняя версия установщика TDL4 умеет обходить политику проверки подписей драйверов, защищающую нулевое кольцо от недоверенного кода. Напомним, что эта политика разрешает установку драйверов только в том случае, если у них имеется цифровая подпись, выданная надежным источником.


Сообщается, что обход системы защиты достигается за счет модифицирования загрузочного сектора жесткого диска, так что перед запуском операционной системы исполняется вредоносный код. Руткит изменяет значение параметра конфигурации LoadIntegrityCheckPolicy, отвечающего за уровень строгости проверки подписей; в результате этих действий устанавливается самый низкий уровень верификации, что позволяет успешно загрузить неподписанный файл руткита.


Ранее компания Prevx отмечала, что TDL способен обходить и другой контур защиты - систему PatchGuard, которая призвана не допускать вредоносных модификаций ядра операционной системы. Для этого он использует тот же самый прием - изменение MBR и получение доступа к процедурам автозапуска операционной системы.


Специалисты Prevx уверены, что в актуальной вирусной среде нет более технически совершенного руткита, нежели TDL. У него есть функционал удаленного управления, позволяющий загружать, устанавливать и обновлять другое вредоносное ПО (например, кейлоггеры); после внедрения в систему он успешно скрывается от большинства антивирусных программ и пакетов; используя низкоуровневые инструкции, он выводит из строя различные отладчики, усложняя тем самым исследовательскую работу антивирусных специалистов.


The Register

ЦОДы мощностью от 500 кВт могут получить защиту от принудительного переноса

Земельные участки с крупными центрами обработки данных могут получить особую защиту от изъятия под государственные и муниципальные нужды. Предложение вошло в проект дорожной карты «Гильотина 2.0» по направлению ЦОД. Запрет планируют ввести с 15 декабря 2027 года.

Под защиту предлагают взять ЦОДы мощностью от 500 кВт, включённые в российский реестр дата-центров, выяснили «Ведомости».

Поправки должны не позволить отправить работающий объект под снос ради комплексного развития территории. ЦОД всё-таки не гараж: разобрать его вечером и перевезти на соседний участок не получится.

Но отрасль уже спорит об условиях. Ассоциация участников отрасли ЦОД считает порог в 500 кВт необоснованным: стандартизированного способа отделить ИТ-нагрузку от общей электрической мощности пока нет. Привязку к реестру там тоже критикуют. Участие в нём добровольное, поэтому защита может достаться не всем объектам.

В Координационном совете ЦОД порог поддерживают: гарантия должна распространяться прежде всего на крупные и сложные для замены площадки. Если освободить землю всё же необходимо, инициатору застройки предлагают предоставить равноценный участок или оплатить его создание.

Компенсацией за стены и серверные стойки дело не ограничится. В возмещение хотят включить строительство нового ЦОДа, перенос оборудования и ИТ-нагрузки, резервирование мощностей, прокладку линий связи и электросетей, а также потери от досрочного расторжения договоров с клиентами.

Инициативу поддержали РТК-ЦОД, МТС и «Мегафон», но операторы также выступают против обязательной привязки к реестру.

Вопрос особенно болезненный для Москвы: местные ЦОДы заполнены примерно на 95%, свободных энергомощностей почти нет, а новые площадки всё чаще приходится строить в регионах. В таких условиях снести работающий дата-центр — значит не просто освободить участок, а попробовать перевезти кусок цифровой инфраструктуры вместе со всеми её клиентами. Дорого, долго и с отличными шансами что-нибудь уронить.

RSS: Новости на портале Anti-Malware.ru