[svoboda] [????????? Dr.Web - ??????????? ???? ???????? <<?????? ???>>С
Защити созданное!
Новая версия сканера Dr.Web справляется с руткитом-невидимкой
[] 6 мая 2008 года
Уважаемые пользователи и тестеры антивирусных решений семейства Dr.Web!
Компания <<Доктор Веб>> - российский производитель средств информационной защиты
под маркой Dr.Web - объявляет о выпуске новой версии сканера Dr.Web, которая
не только детектирует Win32.Ntldrbot (aka Rustock.C), но и лечит зараженные им
системные файлы. На текущий момент ни один современный антивирус, кроме Dr.Web,
не детектирует Win32.Ntldrbot.
На днях мир отметил печальную годовщину - тридцатилетие спама. Пройдя путь от
надоедливой рекламы американских консерв Hornel Foods под торговой маркой SPAM,
рассылка нежелательных писем превратилась в серьезную общемировую проблему. Многие
из нас замечают странные утечки трафика, а наши почтовые ящики по оценкам специалистов
почти на 90% переполнены совершенно ненужной и раздражающей информацией. Одной
из причин такого невиданного уровня спама как раз являлся Win32.Ntldrbot.
Главное предназначение Win32.Ntldrbot - заражать ПК, превращая их в боты, с которых
впоследствии можно рассылать спам, и создавать из таких зараженных компьютеров
ботнеты - гигантские сети по рассылке спама. Но не только заражать, а еще и оставаться
абсолютно невидимым. Что с успехом и делал этот руткит предположительно с октября
2007 года! По оценке компании Secure Works бот-сеть, созданная Rustock, стоит
на третьем месте среди крупнейших бот-сетей и способна рассылать ежедневно до
30 миллиардов спам-сооб? ?ений. Основная область <<специализации>> этой сети
- ценные бумаги и фармацевтика.
Обкатка новых технологий перехвата функций сетевых драйверов и техник сокрытия
себя в системе была начата автором этого руткита в конце 2005 - начале 2006 года,
когда появились его первые бета-версии. В том же 2006 появилась версия Rustock.B,
которая позволяла обходить файерволы и прятать спам-трафик. Справляться с первыми
версиями руткита для антивирусных компаний не составляло особого труда.
А вот со следующей версией Rustock случилась загвоздка: его образец не смогли
обнаружить ни антивирусные компании, ни вирусописатели. По принципу <<нет жертвы
- нет преступления>> большинство антивирусных вендоров заняло такую позицию:
<<Раз даже мы его не видим (не нашли), значит он не существует. Это миф!>>
Но оказалось, что Win32.Ntldrbot не миф.
[]
Не все антивирусные лаборатории бросили его поиск, и он дал результаты. Прошло
полтора года, и Win32.Ntldrbot был найден аналитиками компании <<Доктор Веб>>
в начале 2008 года. Все это время он работал, рассылал спам. Если предположить,
что руткит безнаказанно работает с октября 2007 года и совершенно невидим для
антивирусов, можно сделать выводы о каком громадном количестве паразитного трафика
идет речь.
Службой вирусного мониторинга компании <<Доктор Веб>> обнаружено порядка 600
экземпляров данного руткита. Сколько их существует на самом деле в мире неизвестно.
Несколько недель кропотливой работы ушло на распаковку, детальный анализ и улучшение
методов детектирования подобных экземпляров.
Некоторые технические характеристики Win32.Ntldrbot
DG Имеет мощный полиморфный протектор, затрудняющий анализ и распаковку руткита.
DG Реализован в виде драйвера уровня ядра, работает на самом низком уровне.
DG Имеет функцию самозащиты, противодействует модификации времени исполнения.
DG Активно противодействует отладке - контролирует установку аппаратных точек
останова (DR-регистры), нарушает работу отладчиков уровня ядра: Syser, SoftIce.
Отладчик WinDbg при активном рутките не работает вообще.
DG Перехватывает системные функции неклассическим методом.
DG Работает как файловый вирус, заражая системные драйверы.
DG Конкретный экземпляр руткита привязывается к оборудованию зараженного компьютера.
Таким образом, на другом компьютере руткит с большой вероятностью работать не
будет.
DG Имеет функцию перезаражения, срабатывающую по времени. Старый зараженный файл
лечит. Таким образом, руткит <<путешествует>> по системным драйверам, оставляя
зараженным какой-нибудь один.
DG Фильтрует обращения к зараженному файлу, перехватывая FSD-процедуры драйвера
файловой системы и подставляет оригинальный файл вместо зараженного.
DG Имеет защиту от антируткитов.
DG Имеет в составе библиотеку, внедряемую в один из системных процессов. Данная
библиотека занимается рассылкой спама.
DG Для связи драйвера с DLL используется специальный механизм передачи команд.
Полный текст статьи о Win32.Ntldrbot (aka Rustock.C).
То, что у Win32.Ntldrbot было столько времени действовать безнаказанно, означает,
что никто не даст гарантии, что и ваша машина не является частью одной из бот-сетей
и не рассылает спам прямо сейчас. Если Вы не являетесь пользователем антивируса
Dr.Web, Вы можете проверить компьютер и вылечить системные файлы, инфицированные
Win32.Ntldrbot, с помощью бесплатной лечащей утилиты Dr.Web CureIt!
