रूटकिट्स: सुरक्षा मुद्दे और विकास के रुझान

वर्तमान में, यह स्पष्ट है कि कंप्यूटर हमलों का वेक्टर बड़े पैमाने पर संक्रमण से लक्षित, लक्षित हमलों में स्थानांतरित हो रहा है। जैसा कि ई। कास्पेर्स्की ने कहा: "नब्बे का दशक साइबरहिलिजनों का दशक था, दो हजारवें दशक साइबर अपराधियों के दशक थे, अब साइबर युद्ध और साइबर आतंक का युग आ गया है।" इसके उदाहरण प्रसिद्ध उदाहरण हैं: Stuxnet, Duqu, Flamer, Gauss, जो कई एंटी-वायरस कंपनियों को साइबर हथियार के रूप में रैंक करते हैं।

कंप्यूटर सुरक्षा में प्रमुख रुझान

साइबर हथियारों के उपयोग के हड़ताली उदाहरणों में से एक रेड अक्टूबर जासूस नेटवर्क है, जो पांच साल से सरकारी संगठनों, विभिन्न शोध संस्थानों और बड़ी अंतरराष्ट्रीय कंपनियों से सक्रिय रूप से जानकारी निकाल रहा है। इन वस्तुओं की गंभीर सुरक्षा ने दुर्भावनापूर्ण प्रणाली के संचालन को नहीं रोका। इसका खुलासा कुछ महीने पहले ही किया गया था, जो किसी भी कंप्यूटर प्रणाली के संचालन में हस्तक्षेप के बढ़ते खतरे का संकेत देता है।


कंप्यूटर सिस्टम में एक स्थिर और undetectable उपस्थिति सुनिश्चित करने के लिए, दुर्भावनापूर्ण सॉफ़्टवेयर (मैलवेयर) विशेष तंत्र का उपयोग करता है जिसे रूटकिट तंत्र कहा जाता है। नतीजतन, मैलवेयर उपयोगकर्ता और सुरक्षात्मक उपकरण दोनों के लिए अदृश्य है।

ऐसा लगता है कि ओएस डेवलपर्स को हर तरह से नाजायज सॉफ़्टवेयर को छिपाने का विरोध करना चाहिए, लेकिन विंडोज के एक नए संस्करण की उपस्थिति ने स्थिति को बेहतर के लिए नहीं बदला। आठ ने अपने पूर्ववर्तियों से कुछ पहले से परिचित सुरक्षा तंत्र (यूएसी, एएसएलआर, डीईपी, पैचगार्ड, ड्राइवरों के लिए डिजिटल हस्ताक्षर) को अपनाया, जिसके लिए एक वर्कअराउंड है। और कई नए शुरू किए - सिक्योर बूट, एसएमईपी और ईएलएएम, जो, हालांकि, सुरक्षा के स्तर में उल्लेखनीय रूप से वृद्धि नहीं करते थे। जैसा कि स्टोनड लाइट बूटकिट पीटर क्लेसर के डेमो सैंपल और यूईएफआई बूटकिट एंड्रिया अल्लीवी द्वारा दर्शाया गया है। और विंडोज 8 पर एसएमईईपी प्रौद्योगिकी को दरकिनार करने की संभावना के बारे में पहले से ही सकारात्मक प्रौद्योगिकियों से ए शिश्किन लिखा था।

जानकारी

ब्रिटिश नेशनल ऑडिट ऑफिस (एनएओ) की हालिया रिपोर्ट के अनुसार, साइबर अपराध की संख्या में वृद्धि हुई है जो अकेले यूके £ 1827 बिलियन सालाना ( bit.ly/14O9xy5 ) की लागत है।

पूर्वगामी के आधार पर, यह निष्कर्ष निकाला जा सकता है कि विंडोज के नवीनतम संस्करण में, मैलवेयर से निपटने के लिए कुछ भी क्रांतिकारी नहीं पेश किया गया था, और वर्तमान में कोई भी सभ्य तंत्र नहीं है जो रूटकिट डेवलपर्स के जीवन को जटिल बना सकता है।

प्रणाली में चिंता तंत्र

मैलवेयर को छिपाने के लिए विभिन्न तरीकों का इस्तेमाल किया जा सकता है। छुपाने वाले तंत्र का वर्गीकरण सबसे पहले जोआना रुटकोव्स्का ने चुपके मालवेयर टैक्सोनॉमी का परिचय दिया। उसके लिए प्रस्तावित वर्गीकरण को निम्नानुसार विस्तारित किया जा सकता है (चित्र 1 देखें)।



स्टेग्नोग्राफ़िक तंत्र एम्बेडेड ऑब्जेक्ट्स के वास्तविक उद्देश्य को उन्हें वैध के रूप में छिपाकर छिपाता है, उदाहरण के लिए, सिस्टम फ़ाइलों के नाम के साथ उनके नामों की समानता से। परिणामस्वरूप, दुर्भावनापूर्ण फ़ाइलें उपयोगकर्ता को दिखाई देती हैं, लेकिन उसे संदेह करने का कारण नहीं है। दुर्भावनापूर्ण ड्राइवरों पर हस्ताक्षर करने के लिए भरोसेमंद कंपनी प्रमाणपत्रों का उपयोग स्टेग्नोग्राफ़िक छुपाने का एक उदाहरण है। Realtek और JMicron के मान्य प्रमाण-पत्रों के कारण, स्टक्सनेट कीड़ा लंबे समय तक बिना रुके चला गया, और फ्लेम कीड़ा के घटकों को डिजिटल रूप से स्वयं Microsoft द्वारा हस्ताक्षरित किया गया।

स्टेग्नोग्राफ़िक तंत्र को उन्नत विशेषाधिकारों की आवश्यकता नहीं होती है, उन्हें विंडोज ओएस के विभिन्न संस्करणों में भी स्थानांतरित किया जाता है। हालांकि, तकनीकी छिपाई तंत्र की कमी के कारण, ऐसे मैलवेयर का आसानी से पता लगाया और हटाया जा सकता है। एक बड़ा खतरा छुपाने के अन्य तंत्रों के साथ स्टेग्नोग्राफ़िक का संयोजन है।

दूसरे समूह में छिपाने का तकनीकी तंत्र शामिल है, जिसके परिणामस्वरूप गुप्त वस्तु के बारे में जानकारी डिटेक्शन टूल ("ऑब्जेक्ट दिखाई नहीं देता है, जिसका अर्थ है कि यह वहां नहीं है") के लिए दुर्गम हो जाता है। इन तंत्रों को रूटकिट तंत्र में विभाजित किया जा सकता है जो ओएस के "अंदर" और "बाहर" काम करते हैं।

रूटकिट तंत्र "ओएस के अंदर" के मामले में, वस्तु एक प्रक्रिया, ड्राइवर, डिस्क पर फ़ाइल, नेटवर्क पोर्ट, रजिस्ट्री कुंजी हो सकती है। अपने काम के लिए, रूटकिट तंत्र उपयोगकर्ता और सिस्टम एड्रेस स्पेस दोनों में निष्पादन पथ और मेमोरी संरचना दोनों को बदल सकता है।

निष्पादन पथ को बदलने के लिए, मैलवेयर एक नियमित हैंडलर के कार्यों को स्वीकार करता है और एक दुर्भावनापूर्ण हैंडलर पर नियंत्रण स्थानांतरित करता है, जो लौटे परिणाम के लिए लक्षित परिवर्तन करता है। वर्णित छिपाई तंत्र का पता लगाने के तरीके पहले से ही पत्रिका के पन्नों पर कवर किए गए हैं।

"अंदर" काम करने वाले रूटकिट तंत्र के दूसरे उपसमूह ओएस सिस्टम में नए हैंडलर नहीं जोड़ता है, लेकिन एक विशेष तरीके से मेमोरी संरचनाओं को बदलता है जो छिपे हुए ऑब्जेक्ट के बारे में जानकारी संग्रहीत करता है। सिस्टम संरचनाओं में स्थित ऐसी संरचनाओं के उदाहरण और रूटकिट्स के लिए रुचि: KRPCB, ETHREAD, EPROCESS, MODULE_ENTRY, _DRIVER_OBJECT, और पंजीकृत ड्राइवर और सेवाओं का एक डेटाबेस, जो Services.EXE प्रक्रिया के उपयोगकर्ता स्थान में स्थित है।

रूटकिट तंत्र "ओएस के बाहर" अपने स्वयं के स्थापित करने या किसी विशेष प्रोसेसर मोड या अतिरिक्त हार्डवेयर में एक मौजूदा ईवेंट हैंडलर को संशोधित करने पर आधारित है। इन तंत्रों के काम करने के लिए, आवश्यक तकनीक के समर्थन के साथ एक चिपसेट अक्सर आवश्यक होता है। हम हार्डवेयर वर्चुअलाइजेशन मोड, सिस्टम मैनेजमेंट मोड, और एक्टिव मैनेजमेंट टेक्नोलॉजी और V-PRO का उपयोग करके कोड के आधार पर निर्मित रूटकिट मैकेनिज्म को अलग कर सकते हैं। R_T_T के लेखक, व्यापक रूप से संकीर्ण हलकों में जाने जाते हैं, अपने कामों में फ्लिंट लॉलेसनेस, न केवल संकेतित प्रौद्योगिकियों से सूचना सुरक्षा के लिए संभावनाओं और खतरों का वर्णन करता है, बल्कि प्रोसेसर माइक्रोकोड अपडेट मैकेनिज्म ( bit.ly/VRQDDO और bit.ly/104EsRB ) से भी है।

रूटकिट्स को छिपाने के लिए एक दिलचस्प तकनीक

2012 में ज़ीरोनाइट सम्मेलन में, डी। ओलेक्स्युक (उर्फ Cr4sh) के काम को प्रस्तुत किया गया था, जो एक दिलचस्प तरीका बताता है कि फाइलों में रूटकिट नहीं है, लेकिन रजिस्ट्री में विभेदित प्रणाली विवरण तालिका (डीएसटीटी) का उपयोग किया जाता है। इस पद्धति का लाभ यह है कि कोई रूटकिट डिटेक्शन टूल इस संभावना को ध्यान में नहीं रखता है।

विरोधी रूटकिट

सबसे पहले जिन दुर्भावनापूर्ण औजारों की चर्चा की गई थी, वे ड्राइवरों को उनके काम के लिए इस्तेमाल करते थे। इस संबंध में, आइए सबसे आम एंटी-रूटकिट टूल देखें जो छिपे हुए ड्राइवरों की उपस्थिति का पता लगा सकते हैं।

विंडोज 8 के साथ काम करने वाले लोकप्रिय फ्रीलांस टूल में, निम्नलिखित को प्रतिष्ठित किया जा सकता है: गमर, एक्सयूटीआर, पावरटूल, टीडीएसएसकीलर (कैस्परस्की लैब्स)।

छिपे हुए ड्राइवरों का पता लगाने के दृष्टिकोण से, गमर, XueTr, और पावरटूल उपकरण समान ऑपरेशन एल्गोरिदम हैं जो स्मृति में चालक संरचनाओं के टुकड़े खोजने के लिए एक बाइट खोज का उपयोग करते हैं। ड्राइवरों का पता लगाने के लिए TDSSKiller टूल थोड़ी अलग सूची का उपयोग करता है, जिसमें मानक विंडोज टूल के माध्यम से ड्राइवरों को लोड करते समय जानकारी दर्ज की जाती है।

आवश्यक संरचनाओं में फ़ील्ड्स को बदलना और उन्हें संबंधित सूचियों से निकालना यह सुनिश्चित करेगा कि ड्राइवर इन उपकरणों से छिपा हुआ है, सिस्टम के संचालन को बाधित किए बिना और स्वयं मैलवेयर। यह हमें एंटी-रूटकिट के सार्वजनिक डोमेन में अनुपस्थिति का वर्णन करने की अनुमति देता है जो कि प्रतिरोध के प्रति प्रतिरोधक हैं।

हार्डवेयर और सॉफ्टवेयर रूटकिट्स

सॉफ़्टवेयर और हार्डवेयर रूटकिट "ओएस के बाहर" संचालित होते हैं। सबसे दिलचस्प उदाहरण हार्डवेयर वर्चुअलाइजेशन तकनीक के आधार पर बनाया गया है। क्यों? सबसे पहले, उन्हें ड्राइवरों का उपयोग करके स्थापित किया जा सकता है - विभिन्न ओएस के नियमित तंत्र। दूसरे, ऐसे रूटकिट्स दूसरों की तुलना में उच्च स्तर की घटनाओं को रोक सकते हैं। तीसरे, वे बेहतर दस्तावेज हैं। इसलिए, हम उन्हें बेहतर जान पाएंगे।

2006 से, इंटेल और एएमडी ने हार्डवेयर वर्चुअलाइजेशन तकनीक के लिए प्रोसेसर जारी करना शुरू किया। सॉफ्टवेयर जो हार्डवेयर-आधारित वर्चुअलाइजेशन तकनीक (या सिर्फ एक हाइपरवाइजर) का उपयोग करता है, एक नए मोड में काम करता है, जो ओएस से अधिक विशेषाधिकार प्राप्त है। हार्डवेयर वर्चुअलाइजेशन तकनीक आपको कई अलग-अलग हाइपरविजर एम्बेडेड चलाने की अनुमति देती है।

हाइपरविजर स्रोत - विंडोज x86 के लिए ड्राइवर

अपना स्वयं का हाइपरवाइज़र बनाने का सबसे तेज़ और आसान तरीका मौजूदा लोगों में से एक को आधार के रूप में लेना है। पत्रिका से जुड़ी डिस्क पर, आप निम्न स्रोत पा सकते हैं:

1. BluePill (संस्करण 0.11 और 0.32) AMD सिस्टम के लिए एक हाइपरविजर का एक डेमो नमूना है, जिसके प्रकाशन के बाद हार्डवेयर वर्चुअलाइजेशन से सूचना सुरक्षा खतरों की व्यापक चर्चा शुरू हुई।
2. vmxcpu, Sh के लिए सोर्स कोड है। Intel प्रोसेसर के लिए Embleton hypervisor stub, जो उपयोग के लिए तैयार है।
3. अदृश्य लेन (il) - vmxcpu के आधार पर निर्मित लेखक के छिपे हुए हाइपरविजर का स्रोत कोड। प्रोसेसर टीएससी घड़ी काउंटर से समझौता करके चिंता का सामना किया जाता है; एक घड़ी चक्र की सटीकता के साथ समझौता की राशि निर्धारित की जा सकती है।

एक ओर, वर्चुअल मशीन मॉनीटर के रूप में कार्य करने वाला हाइपरविजर कंप्यूटर की सेवा क्षमताओं को बढ़ाता है और इसकी परिचालन लागत को कम करता है। इसके लिए धन्यवाद, विभिन्न आभासी मशीनों में कई ओएस एक साथ एक कंप्यूटर (छवि 2) पर लॉन्च किए जा सकते हैं।



लेकिन, दूसरी ओर, आप एक हाइपरविजर को स्पष्ट रूप से पेश कर सकते हैं - एक सॉफ्टवेयर बुकमार्क जिसमें अनियंत्रित क्षमताएं हैं और सूचना सुरक्षा के लिए खतरा है।

सार्वजनिक डोमेन में दो सॉफ्टवेयर टूल हैं - ब्लूपिल और विट्रियॉल, ड्राइवर के रूप में कार्यान्वित किए जाते हैं जो उपयोगकर्ता को पारदर्शी रूप से हाइपरविजर स्थापित करते हैं।

संपूर्ण कंपनियों (कोमोकू, उत्तर सुरक्षा लैब्स और अन्य), साथ ही व्यक्तिगत विशेषज्ञों द्वारा हाइपरविजर्स की खोज की गई थी। यहां तक ​​कि स्वयं Microsoft ने भी हाइपरविजर्स का पता लगाने के लिए एक इंटरफ़ेस प्रकाशित किया है, जिसके अनुसार ईएक्सएक्स रजिस्टर में यूनिट लिखने के बाद, सीपीयूआईडी निर्देश को निष्पादित करना आवश्यक है। अगला, ईसीएक्स रजिस्टर के 31 बिट्स के मूल्य की जांच करें; यदि यह सेट है, तो एक हाइपरविजर सिस्टम में मौजूद है, और इसकी क्षमताओं के बारे में जानकारी HV_CPUID_RESULT संरचना में प्रसारित की जाती है। हालांकि, यह विधि समझौता से सुरक्षित नहीं है।

हाइपरवेयर्स के व्यापक प्रसार के बावजूद, उनका पता लगाने के लिए कोई नियमित उपकरण नहीं हैं, और प्रकाशित लोगों में महत्वपूर्ण कमियां हैं: हाइपरवाइजर की पहचान करने में असमर्थता अगर यह पता लगाने के लिए विरोध किया जाता है, साथ ही कई उपकरणों का उपयोग करने और डुप्लिकेट करने की असुविधा भी होती है। प्रतिकृति की सुविधा को बाहरी हार्डवेयर घटक का पता लगाने के साधन में अनुपस्थिति के रूप में समझा जाता है जो ऑपरेशन के पूरे समय के लिए आवश्यक है।

हाइपरविजर डिबगिंग टूल

हाइपरविजर की बारीकियां हमेशा लोकप्रिय डिबगिंग टूल जैसे कि VBox (VMware) को WinDbg के साथ उपयोग करने की अनुमति नहीं देती हैं, इसके बजाय, आप Boch या AMD SimNow एमुलेटर का उपयोग कर सकते हैं, लेकिन वे कॉन्फ़िगर करने के लिए काफी जटिल हैं।

क्या इस्तेमाल किया जा सकता है:

1. DbgPrint के माध्यम से आउटपुट डीबगिंग संदेश और DbgView का उपयोग करके उन्हें देखें। सच है, इस विधि का उपयोग हाइपरविजर के सही संचालन को डिबग करने की तुलना में अधिक करने के लिए किया जा सकता है।
2. COM पोर्ट पर डिबगिंग संदेश भेजें। इस विधि का उपयोग BluePill के लेखकों द्वारा किया गया था, जो स्रोत में इन कार्यों के कार्यान्वयन को बनाए रखता है।
3. PTI8 डायग्नोस्टिक पोस्ट टेस्ट कार्ड डीबग कार्ड पीसीआई एनालाइजर जैसे डिबग बोर्ड का उपयोग करें। जब आप कंप्यूटर चालू करते हैं, तो आप इस बोर्ड के एलसीडी डिस्प्ले पर BIOS POST संदेश देख सकते हैं।

हार्डवेयर वर्चुअलाइजेशन तकनीक का उपयोग करने वाले विभिन्न सॉफ्टवेयरों के व्यापक वितरण के कारण, अवैध हाइपरवाइजर विशेष रूप से खतरनाक है, जो एम्बेडेड वर्चुअलाइजेशन का उपयोग करके छिपाने के लिए वैध हाइपरवाइजर का उपयोग करता है। खुले स्रोतों में, कई नेस्टेड हाइपरवेयर्स का पता लगाने के तरीके के बारे में कोई जानकारी नहीं है।

हाइपरविजर खोज विधियों का अवलोकन और वर्गीकरण

हाइपरविजर्स का पता लगाने के मुद्दे पर पहले ही कई बार चर्चा हो चुकी है। अंजीर में। चित्र 3 हाइपरविजर का पता लगाने के लिए तरीकों का वर्गीकरण दर्शाता है, जिसके अनुसार सभी विधियों को सक्रिय और हस्ताक्षर में विभाजित किया गया है।



अस्थायी पता लगाने के तरीके इस तथ्य पर आधारित हैं कि अतिथि OS की निर्दिष्ट घटनाओं के प्रसंस्करण समय के आँकड़े इस बात पर निर्भर करते हैं कि हाइपरवाइजर लोड किया गया है या नहीं: हाइपरविजर की उपस्थिति में, घटनाओं के प्रसंस्करण की अवधि बहुत लंबी है। इस सुविधा का उपयोग कॉमरेड R_T_T द्वारा किया गया था जब एक चीनी हाइपरवाइजर की खोज की गई थी ( xakep.ru/post/58104 )। यह आपको केवल उन मामलों में हाइपरवाइजरों की अपेक्षाकृत आसानी से पहचान करने की अनुमति देता है, जहां हमलावर ने उन्हें छुपाने के उपाय नहीं किए हैं। ऐसी स्थितियों में जहां काउंटर का एक लक्षित समझौता है या मेमोरी से हाइपरविजर के अस्थायी उतराई (तथाकथित ब्लूचेन तकनीक, जिसे ब्लूपिल में इस्तेमाल किया गया था), ज्ञात अस्थायी तरीके हाइपरवाइजर का पता लगाने की अनुमति नहीं देते हैं।

इन पता लगाने के तरीकों का एक विस्तृत विवरण और तुलनात्मक विश्लेषण bit.ly/ik_volume में प्रस्तुत किया गया है। हम अनमास्किंग घटनाओं की एक सूची का उपयोग करके एक अस्थायी पहचान पद्धति पर ध्यान देंगे।

चयनित विधि के लिए, अतिथि ओएस की ऐसी घटना एक निर्देश का निष्पादन होगी जिसमें नियंत्रण हमेशा ओएस से हाइपोइज़र को स्थानांतरित किया जाता है। ऐसा ही एक निर्देश है CPUID। हाइपरविजर डिस्कवरी सिस्टम, जिसे बाद में वर्णित किया जाएगा, इस विशेष विधि का उपयोग करता है।

प्रत्येक तरीकों का मूल्यांकन करने के लिए, हाइपरविजर डिटेक्शन टूल का विश्लेषण किया गया था, जिसके तुलनात्मक परिणाम तालिका में प्रस्तुत किए गए हैं। 1. गैर-छिपी हाइपरवाइजर का मतलब घटक के इस नमूने में अनुपस्थिति है जो पता लगाने के लिए प्रतिरोध प्रदान करता है। छिपे हुए नमूने से अभिप्राय इस नमूने में ऐसे घटक की उपस्थिति से है। तालिका में। 1 संकेत "+" और "-" क्रमशः निर्दिष्ट विशेषताओं की उपस्थिति (अनुपस्थिति) को दर्शाते हैं।



विश्लेषण के परिणाम बताते हैं कि हाइपरविजर्स का पता लगाने के मौजूदा तरीकों में कई नुकसान हैं:

• अस्थायी तरीके हाइपरविजर को एक समझौता घड़ी काउंटर का उपयोग करने या स्मृति से अस्थायी उतराई के मामले में पता लगाने की अनुमति नहीं देते हैं;
• व्यवहार के तरीके नए हाइपरविजर का पता नहीं लगा सकते हैं और नए प्रोसेसर मॉडल पर कार्यात्मक नहीं हैं;
• एक विश्वसनीय वर्चुअल मशीन मॉनीटर पर आधारित विधियाँ एक मध्य-आक्रमण के लिए संवेदनशील होती हैं;
• हस्ताक्षर हार्डवेयर का उपयोग करने और डुप्लिकेट करने के लिए असुविधाजनक है, और सॉफ्टवेयर हाइपरविजर का मुकाबला करने के लिए अस्थिर है;
• सभी प्रकाशित पता लगाने के तरीके और साधन कई नेस्टेड हाइपरवाइजर का पता लगाने की अनुमति नहीं देते हैं।

इन कमियों से रहित एक नाजायज हाइपरवाइजर का पता लगाने के लिए लेखक की तकनीक निम्नलिखित है। एक हाइपरविजर पर विचार किया जाएगा जिसका उपयोग करके लागू किया जा सकता है:

• ऑपरेटिंग सिस्टम ड्राइवर स्थापित करना
• हार्ड ड्राइव के मास्टर बूट रिकॉर्ड में संशोधन;
• हार्डवेयर के BIOS फर्मवेयर में परिवर्तन करना।

यह ध्यान में रखा जाता है कि घुसपैठिये द्वारा लागू किए गए हाइपरविजर, प्रोसेसर क्लॉक काउंटर से समझौता करके, मेमोरी से अस्थायी रूप से अनइंस्टॉल करके डिटेक्ट का पता लगा सकते हैं, और हाइपरविज़र की संरचना वाले मेमोरी डंप की एक कॉपी प्राप्त करने से भी रोक सकते हैं।

डिस्कवरी के लिए आवश्यक शर्तें

हाइपरविजर का पता लगाने के लिए उपयोग किए जा सकने वाले कारकों की पहचान करने के लिए, हार्डवेयर वर्चुअलाइजेशन के लिए समर्थन के साथ प्रोसेसर का एक तुलनात्मक विश्लेषण किया गया था, जब इसकी अनुपस्थिति और उपस्थिति के मामलों में हाइपरविज़र द्वारा बिना सोचे समझे निर्देशों के एक सेट को निष्पादित किया गया था (छवि 4, ए और 4, बी)।



हाइपरविजर की उपस्थिति में, न केवल ट्रेस का पूर्ण रनटाइम बढ़ता है, बल्कि रन की अवधि की सांख्यिकीय विशेषताएं भी होती हैं, जैसे विचरण। इस विशिष्ट विशेषता ने प्रस्तावित डिटेक्शन तकनीक (प्रोसेसर ऑपरेटिंग मोड और गणितीय औचित्य के बीच स्विचिंग योजनाओं का एक विस्तृत विश्लेषण के आधार पर यहां बिट . ly/10nPPlY पाया जा सकता है) का आधार बनाया।

जांच तकनीक और उसका विश्लेषण

पता लगाने की तकनीक का सार थ्रेशोल्ड मूल्यों के साथ मार्ग की अवधि की सांख्यिकीय विशेषताओं की गणना और तुलना करना है।

ट्रेस सीपीसी घड़ी काउंटर का उपयोग करते हुए एक 31 वें IRQL प्राथमिकता स्तर पर दस CPUID निर्देशों के लिए ट्रेस अवधि को मापा गया था। प्रयोगों के परिणाम 1000 x 10 के आकार के साथ मैट्रिसेस थे, जिसमें मार्ग की अवधि के लिए माप डेटा थे, जिसके अनुसार विभिन्न सांख्यिकीय विशेषताओं की गणना की गई थी।

तालिका का वर्णन करने के लिए। चित्र 2 संकेतक के अनुक्रमिक संयोजन के दहलीज मूल्यों को दर्शाता है जैसे कि विचरण डी the एफ और चौथे क्रम के क्षण different एफ अनुपस्थिति (ओटी) और हाइपरविजर्स की उपस्थिति (पीआर) के मामलों के लिए विभिन्न पीसी पर प्राप्त किए जाते हैं।



तालिका के पहले कॉलम में। 2 नंबर जांचे गए पीसी के प्रोसेसर मॉडल को दर्शाते हैं:

1. विंडोज 7 के साथ इंटेल कोर 2 डुओ ई 8200,
2. विंडोज 7 के साथ इंटेल कोर 2 डुओ ई 6300,
3. विंडोज लाइव सीडी एक्सपी (डीडीडी) के साथ एएमडी फेनोम एक्स 4 945।

पहले दो पीसी ने लेखक द्वारा विकसित एक हाइपरविजर का उपयोग किया था (जिसका स्रोत कोड आप डिस्क पर पा सकते हैं), एक ओएस ड्राइवर के रूप में लागू किया गया, तीसरे मामले में, एक विशेष हाइपरवाइजर जो पीसी से लोड होने पर नियंत्रण प्राप्त करता है।

नाजायज हाइपरवाइजर का पता लगाने की प्रस्तावित तकनीक में दो चरण होते हैं: प्रारंभिक और परिचालन, जैसा कि तालिका में दिखाया गया है। 3 (तकनीक का विस्तृत विवरण: bit.ly/ik_volume )।



इस तकनीक का मुकाबला करने के लिए, छिपे हुए हाइपरवाइजर को एक स्थिर मान से नहीं, बल्कि चक्र काउंटर की रीडिंग से समझौता करना चाहिए, ताकि एक तरफ, यह मार्ग की औसत अवधि के बराबर हो और दूसरी तरफ, मार्ग की अवधि के प्रसार को स्थिर कर दे। हालांकि, इस तरह के एक यादृच्छिक चर के वितरण कानून का चयन करने का सवाल खुला रहता है।

सच है, यह तकनीक कमियों के बिना नहीं है (तालिका। 4)।

भविष्य में देखो

पहले हम सभी के बारे में बात करते थे, ये सभी छिपाना और खोज तकनीक आज के लिए प्रासंगिक हैं। और हम कल से क्या उम्मीद कर सकते हैं? रूटकिट प्रौद्योगिकियों को किस विकास पथ पर ले जाया जाएगा? यह कल्पना करने के लिए स्वतंत्र लगाम देना और उच्च संभावना के साथ यह मान लेना संभव है कि वे निम्नलिखित क्षेत्रों में विकसित होंगे:

1. . . .
2. . , « », « », . IBM Smarter Cities , , .
3. . .

मैं मदद नहीं कर सकता लेकिन Getac सैन्य लैपटॉप में बिटकॉइन पर R_T_T के काम का उल्लेख कर सकता हूं ( bit.ly/Sf23yP )। वहाँ, प्रोग्राम बुकमार्क को कंपूवेयर से सॉफ्टवेयर के रूप में बनाया गया था, जो शक्तिशाली सॉफ्टीस डिबगर जारी करता था। वर्तमान में, इस कंपनी के समान बुकमार्क टेबलेट पर पाए जा सकते हैं। उदाहरण के लिए, उन्नत स्तर के सुरक्षा के साथ नया थिंकपैड 2 पहले से ही प्रीइंस्टॉल्ड सॉफ़्टवेयर के साथ बेचा जाता है - "एंटरप्राइज़-स्तरीय सुरक्षा, ट्रस्टेड प्लेटफ़ॉर्म मॉड्यूल और कम्प्यूट मोबाइल के साथ"।

WWW

EFI रूटकिट्स पर एक दिलचस्प काम, लेकिन OS X के तहत, लोकास K: bit.ly/Pe1Dkl द्वारा किया गया था ।

परिणाम

जैसा कि आप देख सकते हैं, रूटकिट निर्माण प्रौद्योगिकियां अभी भी खड़ी नहीं हैं, जिससे उन्हें अधिक से अधिक मुश्किलों का पता लगाने का कार्य हो रहा है। यह उन्हें एक बहुत ही खतरनाक साइबर हथियार में बदल देता है जो किसी का ध्यान नहीं जा सकता, लेकिन सही समय पर एक सटीक और घातक झटका देता है। विदेशों में अपने सभी खतरे को महसूस करते हुए, उन्होंने सॉफ्टवेयर बुकमार्क के पता लगाने और पता लगाने के क्षेत्र में अनुसंधान में लगी विशेष कंपनियों का निर्माण किया, जैसे: DARPA और IARPA (USA), DSTL (ग्रेट ब्रिटेन), DRDC (कनाडा), COSTIND (चीन)। आइए आशा करते हैं कि जल्द ही और हमारे देश में पूर्ण साइबर सैनिक दिखाई देंगे, जबकि सैन्य विभागों में सुरक्षा का स्तर (पढ़ा हुआ रक्षा) वांछित होने के लिए बहुत कुछ छोड़ देता है।

लेखक के बारे में

( igor.korkin@gmail.com ) — 05.13.19 « , ». , , . , , « » Positive Hack Days 2012.

सबसे पहले हैकर पत्रिका में दिनांक ०५/०३ प्रकाशित हुआ।

ISSUU.com पर प्रकाशित करें

हैकर की सदस्यता लें

• 1 999 पी। पेपर विकल्प के 12 नंबरों के लिए
• 1249 आरयूआर iOS / iPad की वार्षिक सदस्यता के लिए (Android रिलीज़ जल्द ही आ रहा है!)
• एंड्रॉइड पर हैकर

PS क्या आप [] के लिए लिखकर ज्ञान और रोचक विचारों को साझा कर सकते हैं? बता दें :)। हम फीस देते हैं, लेकिन यह मुख्य प्रेरणा नहीं होनी चाहिए।