Обновленный руткит TDL4 обходит новый патч Microsoft

Обновленный руткит TDL4 обходит новый патч Microsoft

Разработчики одного из самых современных руткитов TDL4, способного инфицировать 64-битные системы Windows, выпустили обновление в ответ на патч Microsoft, мешающий его работе.

12 апреля, компания Microsoft выпустила патч, специально разработанный для отключения защитного механизма руткита TDL4.

По умолчанию 64-битные версии систем Windows 7 и Vista позволяют использовать драйверы только с цифровой подписью, поэтому подавляющее большинство руткитов не может функционировать на таких системах.

Отличие руткита TDL4 заключается в том, что он исправляет данные конфигурации загрузки Windows (Boot Configuration Data) в режиме реального времени, что позволяет ему обходить сигнатурный анализ драйверов операционной системы.

Обновление Microsoft KB2506014 включает изменение размера таблицы экспорта файла kdcom.dll, т.к. программа TDL4 проверяет его значение для определения необходимости замены файла своей версией. Обновленная версия руткита больше не выполняет проверку размера этого файла. Вместо этого TDL4 исправляет процедуру проверки цифровой подписи Windows для kdcom.dll, чтобы вернуть ошибку, которую система не распознает, вынуждая продолжать обычную загрузку программы TDL4.
Кроме того, разработчики TDL4 также изменили способ захвата руткитом системного минипорта, метод, который позволял антивирусным программам обнаруживать его присутствие.

По словам Марко Джулиани (Marco Giuliani), специалиста в области безопасности компании Prevx, известно, что руткит TDL4 устанавливает свой образец драйвера минипорта и подключает DR0 устройство через свой драйвер-фильтр. Такая система позволяла многим утилитам обнаруживать активность руткита в системе. Новый TDL4 удаляет любое упоминание о своем присутствии, тем самым, не оставляя следов, обходит большинство технологий по его обнаружению. 


Создана квантовая линия связи, передающая ключи на большие расстояния

Китайские физики разработали систему квантовой связи на основе запутанных атомов рубидия, которая позволяет передавать криптографические ключи на очень большие расстояния без снижения уровня защиты. В рамках работы ученые предложили новый протокол, в котором устойчивость системы не зависит от погрешностей в работе отдельных компонентов квантовой сети.

Результаты исследования группа под руководством профессора Научно-технологического университета Китая в Хэфэе Паня Цзяньвэя опубликовала в журнале Science.

Для обмена данными между узлами используются фотоны, испускаемые атомами изотопа рубидия-87, находящимися в особом квантовом состоянии под воздействием лазерного излучения. Эти фотоны передаются по обычному оптоволокну и применяются для «запутывания» атомов при передаче информации.

Использование такой схемы позволило увеличить соотношение сигнал/шум более чем в 1500 раз по сравнению с существующими подходами. В результате дальность передачи криптографических ключей удалось увеличить на три порядка — до сотен километров.

«Мы продемонстрировали возможность работы систем квантового распределения ключей на “междугородних” расстояниях. Это сокращает разрыв между экспериментальными разработками квантово-защищенных сетей и их практическим применением. Кроме распределения ключей, данный подход может использоваться для создания генераторов случайных чисел и проведения фундаментальных исследований в области квантовой механики», — отметили авторы работы.

В России, по данным на прошлый год, суммарная протяженность линий связи с использованием технологий квантовых коммуникаций уже превышала 7 тыс. км.

RSS: Новости на портале Anti-Malware.ru