TDL3, prima infecție rootkit în kernel, compatibilă cu Windows x64, este aici!

Trusă de root TDL3 este unul dintre cele mai avansate rootkit-uri văzute vreodată în sălbăticie. Rootkit-ul a fost stabil și ar putea infecta 32 de biți sistemul de operare Windows; deși au fost necesare drepturi de administrator pentru instalarea infecției în sistem.

TDL3 a fost actualizat și de data aceasta este o actualizare majoră; rootkit-ul este acum capabil să infecteze versiunile pe 64 de biți ale sistemului de operare Microsoft Windows!

versiunile x64 ale Windows sunt considerate mult mai sigure decât versiunile respective pe 32 de biți datorită unor caracteristici avansate de securitate care sunt menite să facă mai dificilă intrarea în modul kernel și conectarea kernel-ului Windows.

Windows Vista 64 de biți și Windows 7 64 nu permit fiecărui șofer să intre în regiunea de memorie kernel datorită unei verificări foarte stricte a semnăturii digitale. Dacă driverul nu a fost semnat digital, Windows nu va permite încărcarea acestuia. Această primă tehnică a permis Windows să blocheze orice mod de kernel rootkit de la a fi încărcat, deoarece malware-urile nu sunt de obicei semnate - cel puțin nu ar trebui să fie.

Cea de-a doua tehnică folosită de Microsoft Windows pentru a împiedica conducătorii de moduri de kernel să modifice comportamentul kernel-ului Windows este infamul Kernel Patch Protection, cunoscut și ca PatchGuard. Această rutină de securitate blochează fiecare driver de mod de kernel de la modificarea zonelor sensibile ale kernelului Windows - de ex. SSDT, IDT, codul kernelului.

Aceste două tehnici combinate permit versiunilor x64 ale Microsoft Windows să fie mult mai bine protejate împotriva rootkit-urilor de mod kernel.

Primele încercări de a sparge această securitate Windows au fost executate Whistler bootkit, un bootkit cadru vândut în subteran și capabil să infecteze atât versiunile x86 și x64 ale Microsoft Windows.

Dar această versiune TDL3 poate fi considerată prima infecție rootkit în kernel-ul x64 compatibil în sălbăticie.

Dropperul este scos de pe site-urile de crack și pornografice obișnuite, dar în curând ne așteptăm să-l văd că a scăzut și cu kiturile de exploatare, așa cum sa întâmplat cu infecțiile actuale TDL3.

Citiți mai multe la Prevx.