Исследователь вскрыл руткит ZeroAccess

Исследователь вскрыл руткит ZeroAccess

Вирусный аналитик сумел преодолеть оборону руткита, считавшегося одним из наиболее защищенных и технически совершенных. Предполагается, что разработчики этой вредоносной программы связаны с небезызвестной организацией Russian Business Network.

Исследователь института InfoSec Джузеппе Бонфа, специализирующийся на деконструировании программного обеспечения, опубликовал пошаговые инструкции по реверс-инжинирингу руткита ZeroAccess, создатели которого приняли все доступные им меры для противодействия подобным операциям. Однако защита вредоносного продукта не устояла, и теперь аналитики всех поставщиков антивирусных решений смогут изучить руткит (если они еще не сделали этого) и сформировать предложения по более эффективной борьбе с ним.

Согласно результатам исследований, ZeroAccess, известный также под наименованием Smiscer, весьма сложен для удаления, поскольку в процессе очистки есть существенный риск повредить операционную систему. Кроме того, руткит использует низкоуровневые вызовы API для создания новых логических томов, полностью скрытых от жертвы, тем самым чрезвычайно осложняя процесс исследования и делая невозможным применение традиционных инструментов анализа. Вредоносная программа способна также модифицировать системные драйверы и бороться с антивирусными решениями.

Специалист ESET Пьер-Марк Бюро, к которому Интернет-издание The Register обратилось за комментарием, отметил, что в опубликованном документе представлены и описаны все внутренние механизмы работы одного из наиболее совершенных руткитов современности. "Из статьи можно извлечь множество сведений о технологиях, задействованных при создании вредоносной программы, о принципах управления ею, о способах ее установки в систему, а также о том, как детектировать этот руткит", - написал он в электронном письме.

Г-н Бонфа указал в своей работе, что извлеченные из дизассемблированного продукта вредоносные ссылки содержат IP-адреса, связанные с организацией Russian Business Network. В настоящее время ZeroAccess используется главным образом для доставки лжеантивирусного программного обеспечения, хотя с его помощью на компьютеры жертв можно устанавливать любые разработки "адептов темной стороны".

Ознакомиться с результатами труда аналитика InfoSec Institute можно здесь.

Минцифры чаще всего отказывает российскому ПО из-за иностранного софта

Главным врагом российских разработчиков при попытке попасть в реестр отечественного ПО оказались не документы и даже не интерфейс, а иностранные компоненты внутри продукта.

Пользователь Хабра ksalnikova проанализировала 115 отказных заключений Минцифры, вынесенных с марта по июнь 2026 года. В 60% случаев причиной стали зарубежные компоненты с экспортными или лицензионными ограничениями.

Абсолютные лидеры антирейтинга — NVIDIA CUDA, упомянутая в 14 отказах, а также CentOS и Red Hat Enterprise Linux — по 12 случаев. Причем проблемный софт нередко прятался внутри Docker-контейнеров, о составе которых сами разработчики, похоже, вспоминали только после отказа.

 

Также под удар попадали Windows Server, Oracle Linux, VMware, Microsoft SQL Server, Oracle JDK и даже Microsoft Office. В отдельных случаях заявители сами указывали иностранную платформу как обязательную для работы продукта — и фактически приносили экспертам готовое основание для отказа.

 

Каждый шестой провал оказался еще обиднее: эксперт просто не смог запустить программу. Где-то не распаковался архив, где-то протух сертификат, не работал SSH или инструкция заканчивалась раньше, чем начиналась установка.

Еще 16% отказов связаны с зависимостью от зарубежных сервисов. Среди них GitHub, Telegram, Steam, AWS, OpenAI, DeepSeek и даже Google Fonts. Если без внешней платформы продукт превращается в тыкву, отечественным его признавать не спешат.

В список причин также вошли хранение кода за пределами России, отсутствие русского интерфейса, проблемы с правами на продукт и нарушения лицензий.

RSS: Новости на портале Anti-Malware.ru