Исходное сообщение
"Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..." Отправлено n00by, 16-Июн-22 08:15
>  Таким образом, надо убедиться в первую очередь в том, что чтение > не подменено. Это можно пробовать сделать через сравнение числа потраченных инструкций > цпу - время выполнения - на заведомо чистой и целевой системах. > выполнять  perf record/stat и опираться на счетчик выполненных инструкций. Поскольку не последовало внятного объяснения, как предполагается обеспечить достаточную точность измерений, внесу некоторую ясность. Выше предлагается вариант обнаружения по косвенным признакам. Обычно (RkU, Gmer, AVZ и т.п.) вместо этого производили сканирование памяти, искали факт подмены инструкций. Грубо говоря, реализовывался некий аналог системного загрузчика: читали исполняемые файлы с накопителя, но вместо копирования в ОЗУ производили сравнение. Такой метод помимо обнаружения позволял снять хуки (перехват). Однако, руткиты противодействовали - подменяли содержимое чистых файлов при чтении. Варианты с измерением времени обсуждались, но о рабочих реализациях мне не известно, если не считать вариантов с контролем указателя инструкций в планировщике.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> Таким образом, надо убедиться в первую очередь в том, что чтение >> не подменено. Это можно пробовать сделать через сравнение числа потраченных инструкций >> цпу - время выполнения - на заведомо чистой и целевой системах. >> выполнять perf record/stat и опираться на счетчик выполненных инструкций. > Поскольку не последовало внятного объяснения, как предполагается обеспечить достаточную > точность измерений, внесу некоторую ясность. Выше предлагается вариант обнаружения по > косвенным признакам. Обычно (RkU, Gmer, AVZ и т.п.) вместо этого производили > сканирование памяти, искали факт подмены инструкций. Грубо говоря, реализовывался некий > аналог системного загрузчика: читали исполняемые файлы с накопителя, но вместо копирования > в ОЗУ производили сравнение. Такой метод помимо обнаружения позволял снять хуки > (перехват). Однако, руткиты противодействовали - подменяли содержимое чистых файлов при > чтении. Варианты с измерением времени обсуждались, но о рабочих реализациях мне > не известно, если не считать вариантов с контролем указателя инструкций в > планировщике.
	Введите код, изображенный на картинке: