Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
wieluinnychrootkitów,hookiwykorzystywaneprzezTDL3opierająsięna
kluczowychwzorcachsamejarchitekturyjądra.Wpewnymsensiehooki
rootkitamogąbyćlepszymprzewodnikiemporzeczywistejstrukturzejądra
niżoficjalnadokumentacja,anapewnostanowiąnajlepszewskazówkidla
zrozumienianieudokumentowanychstrukturialgorytmówsystemu.
Wrzeczysamej,TDL3zostałzastąpionyprzezTDL4,którydzielizna-
czącączęśćfunkcjonalnościukrywaniasięiochronyprzedśledzeniem
zTDL3,alezwróciłsiędotechnikbootkituwceluominięciamechanizmu
podpisywaniakodutrybujądra(Kernel-ModeCodeSigning)w64-bitowych
systemachWindows(technikiteopiszemywrozdziale7).
Wtymrozdzialezwrócimyuwagęnakonkretneinterfejsyimechanizmy
OS,którewykorzystujeTDL3.Wyjaśnimy,jakTDL3ipodobnemurootkity
sąprojektowaneijakdziałają,poczymwdrugiejczęściksiążkiprzeanalizu-
jemymetodyinarzędzia,którymimożnajewykrywać,obserwowaćianali-
zować.
HistoriadystrybucjiTDL3wświecie
Porazpierwszywykrytywroku20101rootkitTDL3byłjednymznajbar-
dziejwyrafinowanychprzykładówzłośliwegooprogramowaniaopracowa-
negodotegoczasu.Jegomechanizmyukrywaniasięstanowiływyzwaniedla
całejbranżyantywirusowej(podobniejakjegobootkitowynastępca,TDL4,
którystałsiępierwszymszerokorozpowszechnionymbootkitemdlaplatfor-
myx64).
uWAGA
T
arodzinazłośliwegooprogramowaniaznanajestrównieżpodnazwamiTDSS,Ol-
mariklubAlureon.Takaobfitośćnazwtejsamejrodzinyniejestniczymszczególnym,
gdyżdostawcyantywirusówmająskłonnośćdostosowaniaróżnychnazwwswoich
raportach.Typowejestrównież,żezespołybadawczeprzypisująróżnenazwyróżnym
modułomwspólnegoataku,szczególnienawczesnychetapachanalizy.
TDL3byłdystrybuowanyprzyużyciumodelubiznesowegoPay-Per-In-
stall(PPI)zapośrednictwempowiązanychzesobągrupDogmaMillions
iGangstaBucks(obiezostałypóźniejwyłączone).SchematPPI,popularny
wśródgrupcyberprzestępców,jestpodobnydoschematówużywanychpo-
wszechniedorozpowszechnianiapaskównarzędziowychdlaprzeglądarek.
Dystrybutorzypaskówśledząichwykorzystanieprzeztworzeniespecjalnych
kompilacjizosadzonymunikatowymidentyfikatorem(UID)dlakażdego
pakietulubpaczkidostępnejdopobraniaprzezróżnekanałydystrybucyj-
ne.Pozwalatotwórcomnaobliczenieliczbyinstalacji(liczbyużytkowników)
powiązanychzUID,atymsamymustalenieprzychoduwygenerowanego
przezkażdykanałdystrybucyjny.Analogicznainformacjadystrybucyjna
1
http://static1.esetstatic.com/us/resources/white-papers/TDL3-Analysis.pdf.
4
Rozdział1
