Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
Podrugie,umiejscowieniehookaniepowinnobyćzbytoczywiste.Choć
wczesnerootkitywykorzystywałysystemowątabelęwywołańjądranajwyż-
szegopoziomu,tatechnikaszybkostałasięprzestarzała,gdyżtakbardzo
rzucałasięwoczy.Wistocie,gdyzostałaużytawrootkicieSonyw2005
roku3,topołożeniejużbyłojużuznawanezaarchaiczne.Wmiaręjakroot-
kitystawałysiębardziejwyrafinowane,ichhookiprzenosiłysięwdółstosu,
zgłównychtabelwywołańsystemowychdopodsystemówOSprzedstawia-
jącychjednolitewarstwyAPIdlaróżniącychsięimplementacji,takichjak
VirtualFileSystem(VFS),anastępniejeszczeniżej–dometodiwywołań
zwrotnychkonkretnychsterowników.TDL3jestdoskonałymprzykładem
tejmigracji.
JakdziałająhookitrybujądrawTDL3
Abypozostaćponiżejhoryzontuwykrywania,TDL3stosowałdośćzaawanso-
wanątechnikęzahaczania,niespotykanądotychczaswpraktyce:przechwy-
tywałżądaniaodczytuizapisuwejścia/wyjściawysyłanedodyskutwardego
napoziomiesterownikaminiportupamięcimasowej(sterownikasprzęto-
wegonośnikapamięciwystępującegonasamymspodziestosusterowników
pamięcimasowej).Sterownikiportówsąmodułamisystemu,któreudostęp-
niająinterfejsprogramowaniadlasterownikówminiportówdostarczanych
przezproducentówodpowiednichurządzeńpamięciowych.Narysunku1.2
jestpokazanaarchitekturastosusterownikówurządzeńpamięcimasowej
wMicrosoftWindows.
Miniport
SCSI
Sterownikiportówpamięcimasowej
Sterownikiklaspamięcimasowej
(scsiport.sys,storport.sysitd.)
Sterownikisystemuplików
(ntfs.sys,fastfat.sysitd.)
AtakowaneprzezTLD3
Miniport
Storport
(disk.sysitd.)
Miniport
ATA
Miniport
IDE
Rysunek1.2.ArchitekturastosusterownikówurządzeńwMicrosoftWindows
3
https://blogs.technet.microsoft.com/markrussinovich/2005/10/31/sony-rootkits-and-digital-rights-
management-gone-too-far/.
Czymjestrootkit:studiumprzypadkuTDL3
9
