Джоанна Рутковская совершенствует «ядовитую пилюлю» для Windows Vista

Аналитик, разработавший Blue Pill – нераспозноваемый злонамеренный код, поражающий системы под управлением Windows Vist, работает над новой версией, которая должна быть завершена в течение ближайших месяцев…

Разработчик этого злонамеренного ПО, Джонная Рутковская, работающая главным аналитиком в Computer Security Initiative Consultancy (COSEINC), впервые представила Blue Pill ранее в этом году. «Blue Pill ломает операционную систему, перемещается в виртуальную машину и получает над ней доступ» - сказала она во время интервью на конференции Hack In The Box Security Conference (HITB) в Малазии.

Blue Pill задействует технологии виртуализации от AMD и Intel. Виртуализация позволяет компьютеру симулировать работу нескольких операционных систем и приложений на разных разделах. «Используя эту технологию виртуализации, мы можем создать 100% нераспозноваемое злонамеренное ПО» - сказала Рутковская.

Прототип Blue Pill был показан ранее в этом году в рамках презентации сколько времени необходимо в теории для получения доступа к операционной системе. Теперь же Рутквоская работает над новой версией Blue Pill, которая не будет распозноваться операционной системой вовсе.

Анализ времени – теоритический способ обнаружить Blue Pill, но Рутковская не стольуо уверена в нем. «Вам нужно время. К тому же вы не можете положится на внутренние часы, они могут быть захвачены Blue Pill» - сказала она.

Другой способ обнаружить Blue Pill это отключить функцию виртуализации у процессора. Но это глупо. «Люди работали годами, разрабатывая эти новые процессоры, и вы их покупаете только для того, чтобы отключить виртуализацию? Где логика?»

Более практичный способ защититься от Blue Pill со стороны Microsoft это отключить часть памяти ядра Vista, загружая код ядра и драйвера прямо в памяти, что займет порядка 80М байт. Это предотвратит проникновение Blue Pill в ядро. «Кто беспокоится о 80М байтах? Вот почему я была так удивлена, что, покзав атаку в конце июля а конференции SysCan, вижу дыру неисправленной в RC1» - сказала Рутковская, переходя к теме новых версий Vista.

В ответ специалист Microsoft по безопасности сказал, что компания продолжает работу над безопасностью в Vist aRC1. «Остается несоклько месяцев до финальной версии» - сказал Майк Ревей, менеджер в Microsoft Security Response Center.

Источник: http://www.cio.com/
Перевод: Райкер