«Лаборатория Касперского» патентует новый метод обнаружения присутствия руткитов

Discussion in 'Мировые новости. Обсуждения.' started by Suicide, 15 Apr 2014.

  1. Suicide

    Suicide Super Moderator
    Staff Member

    Joined:
    24 Apr 2009
    Messages:
    2,577
    Likes Received:
    3,511
    Reputations:
    693
    «Лаборатория Касперского» патентует новый метод обнаружения присутствия руткитов


    «Лаборатория Касперского» запатентовала метод выявления вредоносного ПО, которое скрывается с помощью руткитов, особых программ изменяющих работу системных функций. Патент №8677492, выданный Бюро по регистрации патентов и торговых марок США, описывает работу защитного решения со специальным модулем, дублирующим некоторые функции ядра операционной системы, что позволяет защитному решению получать достоверную информацию, даже если ОС заражена руткитом.

    Злоумышленники используют руткиты, чтобы скрыть присутствие вредоносных программ от защитных решений. Для этого руткит под видом легитимного драйвера интегрируется с ядром ОС, перехватывает вызовы системных функций от приложений и модифицирует результаты их выполнения, удаляя упоминания файлов и процессов, связанных с троянцем. Это позволяет скрыть присутствие вредоносного кода – опасная программа становится «невидимой» для пользователя и других приложений.

    Патент описывает вспомогательный модуль, дублирующий критически важные функции ядра системы: работу с файлами, контроль процессов, чтение записей системного реестра и т.д. Ключевая задача модуля – обнаружение объектов, замаскированных руткитом. Для этого защитное решение запрашивает список файлов или запущенных процессов через основное ядро и параллельно дублирует запрос через вспомогательный модуль. Сравнение полученных ответов позволяет выявить объекты, которые отсутствуют в списке от ядра ОС. Любое несовпадение является признаком наличия руткита, и защитное решение может предпринять действия, чтобы обезвредить скрываемые им объекты.

    Вспомогательное ядро может быть использовано в разных режимах. На домашнем компьютере поводом для проверки может служить сигнал от других защитных подсистем о подозрительном поведении объекта, что позволит экономить ресурсы. Тогда как в корпоративном окружении, требующем более высокого уровня безопасности, контроль может быть постоянным.

    «Маскировка с помощью руткитов – это один из хитрых трюков, которые злоумышленники используют для того, чтобы затруднить обнаружение вредоносного ПО. Мы, обладая богатой экспертизой в области IT-угроз, хорошо знаем эти приемы и внедряем в свои продукты противодействующие им механизмы. В этом заключается одно из наших преимуществ перед конкурентами, что в свою очередь подтверждается множеством независимых испытаний. И чтобы сохранить это преимущество, мы стремимся получать патенты на подобные технологии. Запатентованный механизм обеспечивает эффективное выявление объектов, скрытых в системе, позволяя справляться с самыми опасными атаками в случае как домашних пользователей, так и крупных компаний», – комментирует автор патента Вячеслав Русаков, антивирусный эксперт «Лаборатории Касперского».

    14.04.2014
    http://www.cybersecurity.ru/crypto/191523.html​
     
  2. mailbrush

    mailbrush Well-Known Member

    Joined:
    24 Jun 2008
    Messages:
    2,191
    Likes Received:
    996
    Reputations:
    155
    Почитал я этот патент. В принципе, идея с созданием альтернативного ядра интересная, и на данный момент теоретически должна позволить обнаружить любой руткит.

    Как я понял, вся коммуникация между антивирусом и вторым ядром происходит используя криптосистему с открытым ключом, где у антивируса хранится приватный ключ, у драйвера доступа к ядру - публичный. Т.е. для попадания в ring0, нужно достать из АВ этот самый приватный ключ и дело с концом.
     
  3. tux

    tux Elder - Старейшина

    Joined:
    26 Mar 2009
    Messages:
    424
    Likes Received:
    231
    Reputations:
    67
    Очередной PR-ход каспера?
    Вообще, странно - если "дополнительный модуль" столь крут, что фактически не нуждается в услугах основного ядра системы (т.е. перехватывай/не перехватывай системные вызовы - руткит все равно виден), то нафига антивирусу сравнивать возвращаемые данные от ядра и "вспомогательного модуля"?
    Ну, и опять же - кто мешает злоумышленнику все так-же, как и в случае обычного руткита, перехватывать "системные вызовы" "дополнительного модуля"? По тому же принципу, что и обычный руткит.
     
Loading...