Найден способ перехвата управления при загрузке Windows 7 - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию
AM_Bot

Найден способ перехвата управления при загрузке Windows 7

Автор AM_Bot, в Общий форум по информационной безопасности

Recommended Posts

AM_Bot    48

AM_Bot
Опубликовано

На конференции по безопасности Hack In The Box в Дубаи исследователи Випин и Нитин Кумар продемонстрировали метод захвата контроля над системой Windows 7 путем изменения процесса загрузки. Впрочем, для этого необходим физический доступ к компьютеру, что несколько снижает масштабы угрозы.читать дальше

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Андрей-001    1099

Андрей-001
Опубликовано

В качестве дополнения к заметке

Выдержки из интервью с авторами VBootkit (буткит для Vista):

...Vbootkit очень похожа на дверь или на ярлык доступа к ядру Windows Vista. Загрузочный комплект - это набор ядра, который способен запуститься с загрузочных секторов (главная загрузочная запись, CD, PXE, флоппи-диск и т.п.) и полностью сохраниться в памяти через переход в защищенный режим, а затем запустить ОС. ... Vbootkit - это специальный буткит для Windows Vista.

...Он построен на "таранной" концепции. Так что он ни при каких обстоятельствах не касается жесткого диска и потому не оставляет никаких доказательств. Вам нужно только перезапустить систему, работающую с vbootkit, и он исчезнет, как будто его никогда и не было.

...он будет работать практически на всех выпусках Vista, в том числе и на локализованных, но это потребует небольшой настройки. Скорее всего, он будет поддерживать и Windows Vista Service Pack 1...

...мы не выложим код для vbootkit, но мы обеспечим им некоторых производителей антивирусов.

Однако, вы можете загрузить предыдущие версии буткита (для Windows 2000/XP/2003) с нашего сайта. Программный код также доступен.

Если вы интересуетесь демо-версией, то вы можете найти ее описание (PDF), слайдшоу с нашей презентации (PPT) и видео, показывающее vbootkit в работе (AVI 1, AVI 2)...

...В настоящее время многие антивирусные решения не сканируют загрузочные данные. Мы не получили от них никаких официальных комментариев...

...Нападающему необязательно его устанавливать, с этой целью его и разрабатывали. Надо всего лишь поместить носитель с vbootkit (в загрузочном секторе содержится vbootkit) в систему и начать загрузку. После того, как Windows Vista загрузится, вы можете проверить работу vbootkit, повысив изначально низкий уровень доступа cmd.exe до системного...

...Вот упрощенная последовательность действий:

BIOS --> код Vbootkit (с CD, PXE и т.п.) --> MBR --> загрузочный сектор NT --> Windows Boot manager --> загрузчик Windows --> ядро Windows Vista.

...vbootkit может быть использован как долгоживущий вирус для загрузочного сектора. Даже некоторые антивирусные производители перестали обращать внимание на вирусы для загрузочного сектора. Он может возобновить их использование.

Читать веб-документ >>>

Скачать PDF-документ для ознакомления >>>

  • Upvote 5

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты
Перейти к списку тем Общий форум по информационной безопасности

  • Сообщения

    • Ego Dekker
      Актуальные версии антивируса 18-го поколения

      От Ego Dekker · Опубликовано

      Домашние антивирусы для Windows были обновлены до версии 18.1.10.
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      1) По поводу реестра и восстановления. Некоторые программы при работе создают копию реестра. Например в корне диска от FRST  т.е. предлагаю добавить в uVS поиск таких копий. Единственно проверять копии на соответствие Системе. В образ писать информацию о такой копии и дату её создания. 2) Окно с твиками в будущем разбить на два окна, твики работающие с реестром выделить в отдельное окно. 3) В Doc - добавить  информацию по твику 35 и его возможном применении с виртуализацией. 4) Проверять возможность загрузиться с другого диска\системы и добавлять в Инфо. сведения о возможности загрузиться с другого диска\системы. Это я о том, что возможно у PC были\есть несколько пользователей и человек просто не знает, что на дисках есть другие системы.  
    • demkd
      uVS - Тестирование

      От demkd · Опубликовано

      С виртуализацией можно удалять все, защиты от нее практически нет. Выполнить 45-й твик.

      ---------------------------------------------------------
       4.99.12
      ---------------------------------------------------------
      o При удалении исключений Defender-а теперь не_используется powershell из-за неадекватного
         поведения антивируса Kaspersky Free. Теперь удаление производится через сам Defender без
         посредников.
         (!) Если Defender отключен ИЛИ неисправен ИЛИ у вас установлен и АКТИВЕН другой антивирус
         (!) то удаление исключений возможно лишь при использовании виртуализации реестра
         (!) ИЛИ при приостановке защиты этого антивируса.
         (!) Я рекомендую отключать антивирус перед запуском, он все равно бесполезен
         (!) и лишь существенно замедляет и усложняет процесс лечения.

       o Теперь в лог выводится информация о зарегистрированных в системе антивирусах/фаерволах и их состоянии.
         (Доступно для Windows Vista+)

       o Улучшена функция поиска неизвестных DLL в адресном пространстве uVS, теперь она более устойчива
         к мерам противодействия поиску.

       o Удалено ошибочное сообщение в логе для Windows Vista о блокировке kernelbase.dll,
         которой в этой системе нет.

       o Антисплайсинг: расширен список контролируемых функций.

       
    • PR55.RP55
      uVS - Тестирование

      От PR55.RP55 · Опубликовано

      Посмотрел тему: https://forum.kasperskyclub.ru/topic/466078-privetstvuju-slovil-majner-po-nazvaniem-toolbtcmine2782/ Возможно имеет смысл  - выполнение  Твика #35  с виртуализацией реестра ? т.е. именно отдельный твик с виртуализацией? ( для обхода защит\ы ) ------- А как средствами uVS  удалить запись типа: Запись из Лога: Обнаружена поврежденная задача: : Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\1EOSv3 Scheduler onLogOn Собственно это единственная запись\информация. Другой информации в uVS нет. т.е.  если нет записей = иной информации, то и применить к ней команды из интерфейса невозможно. т.е. нужно или отдельно задействовать cmd и\или открывать  taskschd как-то это...  
    • santy
      uVS - Тестирование

      От santy · Опубликовано

      Все получилось. Неудаляемые из нормального режима записи с блокировкой запуска антивируса получилось удалить твиком 35 после интеграции uVS в меню дополнительных параметров загрузки. (Обошлось без загрузочного диска.)
×