Джоанна Рутковска объявила о создании прототипа невидимого руткита

[I] Джоанна Рутковска, известный специалист по руткитам и одна из основательниц компании Invisible Things Labs, утверждает, что разработала набор средств для взлома компьютера, которые в принципе невозможно обнаружить. [/I][I] Новый тип руткитов, получивший условное название "синяя таблетка" (Blue Pill), использует [B]технологии виртуализации.[/B] По заявлениям Рутковской, разработанная методика теоретически позволяет создавать хакерские инструменты, при помощи которых можно захватить полный контроль над компьютером жертвы, оставаясь при этом незамеченным.[/I]




Прошу прощения за копипаст, но очень бы хотелось узнать, что есть технологии виртуализации применительно к руткитам и вообще реально ли заявленное???

[QUOTE='Jack2;120186']Прошу прощения за копипаст[/QUOTE]
Откуда?

Секлаб, вчера.

Спасибо. Если пани Иоанна так говорит, ей можно верить.

P.S. Я не знаю сути виртуализации, только само волшебное слово. Вроде бы фишка в том, что руткит создаёт виртуальную машину, где крутится система с антивирусом, а сам остаётся снаружи. И суслика не видно.

Смотрите блог Джоанны: [URL="http://theinvisiblethings.blogspot.com/"]The Invisible Things[/URL]. Вообще, как это частенько у нее бывает, там PR больше, чем сути, хотя суть сама по себе довольно интересная и познавательная. Разговоры об этом ведутся с той самой поры, как у новых процессоров (как AMD, так и Intel) появилась поддержка виртуализации - об этом очень много писали и дискутировали в прошлом году. Читайте, в общем, прошлогодние статьи на эту тему на [URL="http://www.rootkit.com"]rootkit.com[/URL].

[QUOTE]Кроме того, исследовательница подчеркнула, что сейчас "синяя таблетка" существует лишь в виде прототипа, и на ее завершение потребуются шесть месяцев при условии, что двое программистов будут работать целый день. При этом Рутковска изъявила желание получить деньги на оплату труда программистов из расчета 200 долларов в час. Если принять продолжительность рабочего дня за восемь часов, а количество рабочих дней в месяце за двадцать, то получается, что Рутковске нужно финансирование в размере 380 тысяч долларов США. Таким образом, возможность проведения соревнования поставлена под сомнение.[/QUOTE]Это только предположение. Такой руткит ещё не написали и потом... вы представляете сколько он будет "весить"? Наверное столько сколько VMWare.

[quote=Maxim;120411] Наверное столько сколько VMWare.[/quote]
Для этого руткита достаточно ф-ций из vmx86.sys - менее 100кБ.

[QUOTE=Kuzz;120420]Для этого руткита достаточно ф-ций из vmx86.sys - менее 100кБ.[/QUOTE]
Вы и вправду считаете, что 2 высококвалифицированных программиста (а другим никто и не станет платить по 200 долларов за час работы) в течение полугода способны написать только 100 Кбайт кода руткита? =)

2 [B]aintrust[/B], я хотел "сказать", что
[QUOTE='Kuzz;120420']менее 100кБ.[/QUOTE] это ядро виртуализации, которое этот руткит может использовать в своих интересах.
[QUOTE='Maxim;120411']вы представляете сколько он будет "весить"[/QUOTE]Весь пакет - это GUI, доп. сервисы и прочие составляющие VMWare. Вряд-ли руткиту нужен GUI.

[QUOTE='aintrust;120311']Разговоры об этом ведутся с той самой поры, как у новых процессоров (как AMD, так и Intel) появилась поддержка виртуализации - об этом очень много писали и дискутировали в прошлом году. Читайте, в общем, прошлогодние статьи на эту тему на rootkit.com.[/QUOTE]Вот две статьи на эту тему
[url]http://www.ixbt.com/cm/virtualization-h.shtml[/url]
[url]http://www.terralab.ru/system/239131/[/url]
[QUOTE='Kuzz;120420']Для этого руткита достаточно ф-ций из vmx86.sys - менее 100кБ.[/QUOTE]Конечный руткит будет весить гораздо больше.

[QUOTE=Kuzz;120451]2 [B]aintrust[/B], я хотел "сказать", что
это ядро виртуализации, которое этот руткит может использовать в своих интересах.
Весь пакет - это GUI, доп. сервисы и прочие составляющие VMWare. Вряд-ли руткиту нужен GUI.[/QUOTE]
[B]Kuzz[/B], надеюсь вы понимаете разницу между написанием такого руткита (на основе гипервизора) и написанием VMware - все таки это, мягко говоря, немного разные вещи. Этим самым я хочу сказать, что ссылки на компоненты (драйверы, сервисы, GUI) VMware или любой другой системы VM вряд ли уместны в данном контексте.

[QUOTE=Maxim;120411]вы представляете сколько он будет "весить"? Наверное столько сколько VMWare.[/QUOTE]
Посмотри на Bochs - [url]http://bochs.sourceforge.net[/url] это GNU аналог VmWare, дистрибутив весит чуть больше 3 mb, из которых 2 mb документация и вспомогательные утилиты

Начинаю думать, что все попытки как-то защититься от руткитов, написанных за деньги, для профессионалов средней категории попусту обречены на провал.

А если есть неопределяемая технология создания руткита, значит, соответствующие ребята в нужном количестве уже трудятся над ее конкретной реализацией.

НА сегодня уже куча троянов умеют определять что они запущены на виртуалке. Неужели антивирус нельзя научить делать то же? Думаю вполне можно. Скорее всего такая технология их будет больше демаскировать чем маскировать, когда в антивирусы начнут добавлять возможность обнаруживать её использование.

[QUOTE='Jack2;120488']Начинаю думать, что все попытки как-то защититься от руткитов, написанных за деньги, для профессионалов средней категории попусту обречены на провал.[/QUOTE]Я защищаюсь по принципу "не запусти".

Безусловно эта технология интересна, но я думаю она будет использоваться для компаний, у которых есть чем поживиться. Сама реализация будет стоить очень дорого. Не разумно тратить деньги, чтобы потом её "подарить" простым пользователям.

Ничего, китайцы сломают. Было бы что ломать.

[QUOTE='Geser;120538']Думаю вполне можно.[/QUOTE]
Можно, конечно. Только что-то компании не спешат...
[B]Maxim[/B], Первые реализации всегда дороги, но они же, как правило, и окупаются. Но рано или поздно технология выйдет в свет.

На том же секлабе читал как-то, что сейчас злоумышленники отсылают личные письма (с именем адресата и какой-нибудь "реальной" темой) руководителям компаний и высшему руководящему звену, на работу и домой. В письме банальное вложение с трояном. Но удар наносится точечно, целенаправлено, и вредоносный код, как правило, стараются обновлять и дополнительно скрыть от детекторов.

[quote]Начинаю думать, что все попытки как-то защититься от руткитов, написанных за деньги, для профессионалов средней категории попусту обречены на провал.[/quote]

Именно так.

[B]Xen[/B], в общем, надо поднимать собственный уровень профессионализма :)

Вопрос в крутой превентивной защите. Только вот где она? =)