Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
zostałaosadzonawplikuwykonywalnymrootkitaTDL3,aspecjalneser-
weryobliczałyliczbęinstalacjizwiązanychzkonkretnymdystrybutorem–
ijegoobciążających.
Współpracownicygrupcyberprzestępczychotrzymywaliunikatowylo-
ginihasło,któreidentyfikowałyliczbęinstalacjidlakażdegozasobu.Każdy
udziałowiecmiałrównieżosobistegomenedżera,zktórymmożnabyłosię
skonsultowaćwraziedowolnychproblemówtechnicznych.
Abyzredukowaćryzykowykryciaprzezoprogramowanieantywiruso-
we,udziałowcyczęstoprzepakowywalirozpowszechnianeoprogramowanie
iużywalizaawansowanychtechnikobronnychwceluwykryciastosowania
debuggerówimaszynwirtualnych,abyzmylićanalizywykonywaneprzez
badaczyzłośliwychprogramów2.Zabronionebyłorównieżwykorzystywanie
przezpartnerówtakichzasobówjakVirusTotalwcelusprawdzenia,czyich
aktualnewersjemogąbyćwykryteprzezoprogramowanieantywirusoweiza
takiepostępowaniegroziłynawetkaryfinansowe.Wynikałotostąd,żeprób-
kiwysyłanedoVirusTotalmogłyprzyciągnąćuwagę,awkonskwencjiana-
lizęlaboratoriówbadawczychbezpieczeństwa,cowkonsekwencjiskróciłoby
czasużytecznościzłośliwegooprogramowania.Jeślidystrybutorzymalwa-
rechcielisięupewnićcodoniewykrywalnościproduktu,mogliodwoływać
siędousługuruchamianychprzeztwórcęoprogramowania,analogicznych
doVirusTotal,alemogącychzagwarantować,żedostarczonepróbkibędą
trzymanezdalaoddostawcówoprogramowaniazabezpieczającego.
Procedurainfekcji
PopobraniuinfektoraTDL3dosystemuużytkownikazjednegozkanałów
dystrybucyjnychrozpoczynasięprocesinfekcji.Abymócprzetrwaćponow-
neuruchomieniesystemu,TDL3infekujejedenzesterownikówrozrucho-
wych,niezbędnychdozaładowaniasystemuoperacyjnego,wstrzykujączło-
śliwykoddobinarnegoplikutegosterownika.Testerownikisąładowane
wrazzobrazemjądrawewczesnejfazieprocesuinicjowaniasystemu.Wre-
zultacieprzyuruchamianiuzainfekowanejmaszynyzmodyfikowanysterow-
nikjestładowanyizłośliwykodprzejmujekontrolęnaprocesemurucha-
miania.
Tymsamymprocedurainfekcji,gdyzostanieuruchomionawprzestrze-
niadresowejtrybujądra,przeszukujelistęsterownikówrozruchowych,któ-
rewspierająkluczowekomponentysystemuoperacyjnego,ilosowowybiera
jedenznichjakocelinfekcji.Każdywpisnaliściejestopisanyprzeznieudo-
kumentowanąstrukturęKLDR_DATA_TABLE_ENTRY,pokazanąwlistingu1.1,
2RodrigoRubiraBranco,GabrielNegreiraBarbosaiPedroDrimelNeto,fiScientific
butnotacademicoverviewofmalwareanti-debugging,anti-disassemblyandanti-VM
technologies”(dokumentprzedstawionynakonferencjiBlackHatUSA2012,21–26
czerwca,LasVegas,Nevada),https://media.blackhat.com/bh-us-12/Briefings/Branco/BH_
US_12_Branco_Scientific_Academic_WP
.pdf.
Czymjestrootkit:studiumprzypadkuTDL3
5
