Исходное сообщение
"Для Linux выпущен руткит принципиально нового типа" Отправлено Алех, 07-Сен-08 13:56
Скорее всего руткит юзает MSR в купе с DR. Я уже когда то писал, что фактически под давлением M$ интел наворотила неявные команды через управление MSR. Ясно дело, постепенно информация утекала, где то хакеры помогли, но постепенно с механизмом защиты kernel от реверинжиниринга через манипуляции MSR начали разбираться. Ясно дело что спецы забугорные, инфы мало. Хотя наш Крис Касперский вроде в курсе этих телодвижений. В общем как только проблема руткита станет действительно актуальна, ядру сделают иммунитет. В конце концов, достаточно сделать чтение MSR через proc, а далее написать SED сигнатуры допустимости и иметь сигнатуры запрещения. Но наверняка мантейнеры ядра найдут способ эффективнее. По крайней мере сейчас для лина 100% способ избежать подобного - собирать ядра без поддержки модульности. В случае замены/апгрейда аппаратуры - пересобирать ядро. Это конечно при условии, что вы не стянули исходники ядра фиг знает откуда, и не наложили патчей на ядро фиг знает каких. А вот в винде подобные руткиты это полная засада. Поговаривают про дорогую базу "умных" сигнатур, которая описывают поведение участков кода ещё не вышедших руткитов и вирей. Могу представить такую базу у спецслужб :) А вообще мечтается о взрослении архитектуры ARM хотя бы до уровня настольной, или опускание с небес на землю процов от IBM, SUN... Но, скорее всего, это уже далеко за вопросами рыночной стратегии...

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:
	Введите код, изображенный на картинке: