टीडीएल 4 संक्रमित कंप्यूटरों की फोरेंसिक जांच

यह सब इस तथ्य के साथ शुरू हुआ कि पिछली गर्मियों की शुरुआत में हमारे पास Win32 / Olmarik rootkit फ़ाइल सिस्टम के छिपे हुए कंटेनर के त्वरित निष्कर्षण से संबंधित कई कार्य थे, फिर TDL3 संस्करण में। थोड़े विचार के साथ, हमने TdlFsReader उपयोगिता का पहला संस्करण विकसित किया जो TDL3 और TDL3 + को संभालता है। कुछ समय बाद, इसे सार्वजनिक डोमेन में प्रकाशित किया गया और फोरेंसिक परीक्षाओं के कार्यों में बहुत मदद की। हालांकि, गर्मियों के अंत में, इस रूटकिट का चौथा संस्करण दिखाई दिया, जिसमें पहले से ही फाइल सिस्टम में मूलभूत अंतर था: अब यह एक पूर्ण फ़ाइल सिस्टम की तरह था।



और हमने रूटकिट के नए संस्करण के अध्ययन में विलंब किया, क्योंकि यह पिछले एक से मौलिक रूप से अलग था। कुछ समय बाद, TdlFsReader का आंतरिक संस्करण अपडेट किया गया। और पिछले महीने हमारे पास क्राको में अद्भुत कॉन्फिडेंस'2011 सम्मेलन में बोलने का मौका था, जहां रिपोर्ट " डिफाइटिंग एक्स 64: टीडीएल रूटकिट का विकास " प्रस्तुत किया गया था और जिसके भीतर टेडलफ्रेडर का एक नया संस्करण प्रस्तुत किया गया था (hxxp: //eset.ru/tools) /TdlFsReader.exe)।

इसलिए, अब हम आपको टूल के बारे में और अधिक बताएंगे। दरअसल, नया संस्करण प्रकाशन के समय सभी ज्ञात संशोधनों का सामना करने में सक्षम है। और यह TDL3 / 3 + / 4 है, और न केवल x86 संस्करणों के साथ कॉपी करता है, बल्कि x64 भी है।





अब TdlFsReader की वास्तुकला के बारे में थोड़ा, वास्तव में यह दो भागों में विभाजित है, एक कर्नेल में और एक नहीं :)



मुख्य बिंदु रूटकिट संस्करण का निर्धारण कर रहा है, विश्लेषण का विरोध करने वाले तंत्र को हटा रहा है, और उसके बाद ही फाइल सिस्टम और इसके विश्लेषण तक पहुंच प्राप्त कर रहा है।

खैर, और एक बोनस के रूप में - टीडीएल 4 में डिबगिंग बूटकिट कोड के साथ एक और वीडियो, जो वास्तव में, x64 सिस्टम के लिए ड्राइवरों में डिजिटल हस्ताक्षर के सत्यापन को बायपास करता है।