Процессорные руткиты - новый тип вредоносного ПО
Специалисты по информационной безопасности из компании Clear Hat Consulting разработали новый тип экспериментального вредоносного программ, способного маскироваться под аппаратные команды комплектующих частей компьютера, например под команды центрального процессора компьютера. Такой метод сокрытия вредоносного ПО делает его практически неуязвимым для существующих антивирусов.
Созданный SMM-руткит (System Management Mode - Режим системного управления) функционирует только в защищенной доли памяти компьютера, которая может быть закрытой и в процессе работы оставаться невидимой для операционной системы. Однако нахождение кода в этом сегменте памяти дает атакующему полновесную картину того, что происходит данный момент времени в оперативной памяти компьютера.
В Clear Hat Consulting говорят, что концептуальный модуль, способный работать по описанным принципам, они покажут в августе этого года на ИТ-конференции Black Hat в Лас-Вегасе (Невада, США).
Разработчики говорят, что почти все руткиты, созданные за последнее время, прибегают к различным уловкам для того, в надежде избежать обнаружения в компьютерах, но большинство руткитов в любом случае работают в среде операционной системы, что позволяет обнаружить их антивирусными средствами, работающими в той же ОС. Однако в последние несколько месяцев исследователи заговорили о внутренние резервы создания злонамернного ПО, работающего "над ОС". Например, недавно был показан руткит BluePhil, использующий для маскировки серверную аппаратную технологию виртуализации AMD, Symantec сообщила об обнаружении злонамеренного ПО, прячущегося в загрузочном секторе компьютеров, а антивирусные компании одна за одной говорят о появлении новых троянов и вирусов, применяющих те или иные трюки с системами виртуализации, в надежде доставать данные из виртуализованных ОС.
"Руткиты все чаще обращаются к аппаратной доли компьютеров и в этом есть своя логика, чем глубже в систему вы проникаете, тем больше возможностей получаете и тем сложнее вас становится обнаружить", - говорит Шерри Спаркс.
Он отмечает, что в отличие от кода BluePhil, использующего новые и малораспространенные системы виртуализации, их создание использует систему SMM, которая существует в компьютерах со времен появления поздних 386-х процессоров. Режим системного управления SMM первоначально был создан компанией Intel для того, чтоб производители аппаратного обеспечения могли обнаруживать ошибки в работе своих продуктов при помощи программ. Также эта технология используется для управления режимами работы компьютера, например для перевода системы в спящий режим.
По мнению Джона Хисмана, директора по новым технологиям в компании NGS Software, в том случае, если на Black Hat будет действительно показан работающий руткит, способный как-либо эмулировать режим SMM и эксплуатировать эту возможность в своих целях, то этот момент станет очередным витком в развитии вредоносного ПО, поскольку современные антивирусы просто не смогут обнаружить такой код.
"В 2006 году исследователь Люк Дюфо впервые представил небольшой перехватчик, способный работать с SMM, полностью обойдя все политики безопасности ОС. Мы взяли эту концепцию, развили и дополнили ее кодами, позволяющими осуществлять удаленное администрирование машиной", - рассказывает Эмбелтон.
Для того, чтоб руткит в режиме SMM действительно работал исследователям пришлось написать также и системный драйвер для него.
Однако авторы разработки говорят, что их система вряд ли получит глобальное рассылка из-за весьма жесткой привязки к конкретному оборудованию, однако для ориентированных заказных взломов эта концепция вполне может быть использована.
www.securitylab.ru