Опасности использования руткит-технологий в легальных продуктах

Опасности использования руткит-технологий в легальных продуктах

Не секрет, что в некоторых легальных продуктах используются руткит-технологии. Между тем, в случае неаккуратной реализации продукта, злоумышленники могут воспользоваться этими методами в своих целях — для сокрытия модификаций, произведенных в системе вредоносной программой. Антивирусный эксперт «Лаборатории Касперского» Вячеслав Русаков провел исследование рисков использования руткит-технологий в легальных продуктах. 



По мнению эксперта «Лаборатории Касперского», использование руткит-технологий сопряжено с большой ответственностью. Небрежно реализованные алгоритмы могут привести к самым печальным последствиям, в том числе к компрометации системы защиты операционной системы. Наихудшим вариантом является использование руткит-технологий в легальном ПО для сокрытия каких-либо объектов в системе, сообщает информационная служба «Лаборатории Касперского».

В качестве одного из известных примеров легальных продуктов, в которых использовались руткит-технологии, может служить система защиты от копирования аудио-CD компании Sony. В 2005 году разразился громкий скандал: выяснилось, что вредоносные программы могли использовать данную систему защиты для сокрытия собственных компонентов.

Автором исследования с помощью облачного сервиса Kaspersky Security Network было обнаружено несколько легальных программ, которые используют руткит-технологии. Cервис KSN позволяет собирать статистику о различных аномалиях на компьютерах пользователей — таких как скрытые объекты (секторы диска, файлы, ветки реестра и другие).

В ходе исследования были проанализированы четыре таких программы — COMODO Time Machine, Norton GoBack, RestoreIT и PC Back Pro/Rollback Rx. Все продукты являются утилитами послеаварийного восстановления системы, во всех реализована возможность запуска специальной консоли восстановления до загрузки операционной системы. Для реализации этой возможности во всех случаях использован механизм модификации MBR (master boot record).

По итогам тестирования во всех программах была обнаружена подмена MBR при чтении, которая реализуется фильтр-драйвером дискового стека. В случае чтения MBR выдается содержимое MBR до модификации — то есть поддельное содержимое. При этом запись в MBR либо запрещена, либо фильтр-драйвер перенаправляет запрос, и запись происходит в другое место, а модифицированный MBR остается нетронутым.

Применяя данное ПО, пользователь может оказаться в ситуации, когда у него не будет возможности узнать о заражении MBR, и вредоносные программы на компьютере будут скрываться с помощью легальной утилиты. Также при возникновении серьезных проблем ПО для отката системы может не сработать, а использование инструментов редактирования разделов привести к потере работоспособности системы.

Несмотря на то, что механизм модификации MBR вполне легален, по мнению эксперта «Лаборатории Касперского», при его реализации в легальных продуктах лучше полностью отказаться от руткит-технологий и использовать другие алгоритмы.

«Наверняка существуют и другие аналогичные продукты, которые нам пока не известны, и они могут использовать такой же довольно сомнительный функционал, — считает Вячеслав Русаков. — Существует также теоретическая возможность использования вышеуказанных драйверов режима ядра в неправомерных целях, то есть для сокрытия факта заражения MBR, а наличие цифровой подписи в таком случае лишь усугубит дело. При должных знаниях и инструментах злоумышленникам не составит труда разобрать алгоритм работы драйверов».

OOXML — фикция: LibreOffice обвинила Microsoft в манипуляциях

Проблемы совместимости остаются одной из главных причин, по которым пользователи не спешат переходить с Microsoft Office на LibreOffice. Формально всё работает, но на практике время от времени всплывают странности с вёрсткой, форматированием и отображением данных. И, как считают в The Document Foundation (TDF), дело тут вовсе не в LibreOffice.

Фонд, стоящий за LibreOffice, снова выступил с жёсткой критикой Microsoft. В блоге Итало Виньоли — одного из основателей TDF — корпорация из Редмонда обвиняется в том, что она игнорирует интересы отрасли ради собственных коммерческих целей.

По его словам, утверждение «OOXML — это стандарт, и его просто нужно принять» выглядит, мягко говоря, странно.

Виньоли настаивает: Office Open XML (OOXML) не может считаться полноценным стандартом, пока Microsoft не готова радикально переработать сами приложения Office. В качестве примера он напомнил о давней проблеме Excel с автопреобразованием данных — истории, которая напрямую затронула научное сообщество.

Excel годами автоматически превращал текстовые значения в даты. Для обычных таблиц это удобно, но для генетиков — катастрофа. Названия генов вроде MARCH1, SEPT1 или DEC1 Excel воспринимал как даты и превращал их в «1-Mar», «1-Sep» и «1-Dec».

В 2016 году журнал Genome Biology проанализировал почти 3,6 тысячи научных работ с Excel-файлами и выяснил, что примерно в каждой пятой были ошибки, вызванные именно автозаменой форматов.

Долгое время Microsoft считала проблему нишевой и не давала возможность отключить такое поведение. Лишь в 2023 году компания добавила соответствующую настройку; уже после того, как Комитет по номенклатуре генов человека (HGNC) был вынужден переименовать около 27 генов, чтобы избежать ошибок. К тому моменту ущерб для исследований уже был нанесён.

По словам Виньоли, OOXML «открыт» лишь формально. Спецификация формата занимает около 7 000 страниц, что делает полноценную и корректную реализацию сторонними разработчиками почти невозможной.

Кроме того, Microsoft Office сам не использует строгую версию стандарта (Strict OOXML), предпочитая так называемый Transitional-вариант. В нём до сих пор есть зависимости от старых, проприетарных форматов и поведения древних версий Word — вплоть до элементов с названиями вроде autoSpaceLikeWord95 или shapeLayoutLikeWW8.

Отдельно Виньоли критикует рекомендации использовать Windows Metafile для графики вместо открытых и кросс-платформенных форматов вроде SVG.

Для пользователей всё это выливается в знакомую проблему: документы между Office и LibreOffice открываются, но не всегда так, как ожидалось. Для TDF же это очередное подтверждение того, что формат Office по-прежнему работает как инструмент удержания пользователей внутри экосистемы Microsoft.

Спор вокруг OOXML длится уже много лет, и новый выпад со стороны LibreOffice ясно показывает: вопрос совместимости и «открытых стандартов» по-прежнему далёк от закрытия.

RSS: Новости на портале Anti-Malware.ru