Зверский взлом Windows Vista

Крис Касперски

Хакер, номер #095, стр. 095-068-4

Атака на файл подкачки - это действительно прорыв, который Microsoft закроет не скоро (во всяком случае, в Vista RC1 еще не закрыла). Важно отметить, что все вышесказанное относится исключительно к 64-битной версии Windows, поскольку только в ней администраторы лишены прав загружать неподписанные драйверы.

Погружение в виртуальный мир

Механизмы аппаратной виртуализации (известные под кодовым именем Pacifica) реализованы во всех процессорах семейства Athlon 64/Turion 64, выпущенных фирмой AMD после мая 2006 года. Также планируется поддержка виртуализации в Opteron'е. Но это все платформы x86-64, которые нам не сильно интересны, поскольку их рыночная доля крайне мала. AMD не смогла справиться с виртуализацией x86, сославшись на сложность реализации и непригодность этой архитектуры для подобных целей (читай: кишка тонка), а вот Intel смогла, за что ей честь и хвала!

Технология с кодовым именем Vanderpool воплощена в процессорах Intel Pentium 4 6x2, Pentium D 9xx, Xeon 7xxx, Core Duo, Core 2 Duo, куда она перекочевала из Itanium'а (IA64), где была известна под именем Silvervale. Теперь во избежание путаницы она объединена с последней в обезличивающую официальную аббревиатуру VT-X (Virtualization Technology X - X-Tехнология Виртуализации). VT-X существенно отличается от Pacific'и, но по сути предоставляет те же самые возможности, а именно: запуск гипервизора, захватывающего контроль над операционной системой и переводящего ее в «гостевой» виртуальный режим, который, с ее точки зрения, ничем не отличается от «реального».

Гипервизор (в случае VT-X называемый Монитором Виртуальных Машин - Virtual Machine Monitor, VMM) передает гостевой операционной системе управление и получает его назад при наступлении определенных «интересных» событий: возбуждении аппаратного/программного прерывания, обращении к служебным регистрам процессора и т.д. Гипервизор не может непосредственно перехватывать API-функции гостевой операционной системы, но способен следить за обращениями к портам ввода-вывода или самостоятельно взаимодействовать с оборудованием в обход оси. Косвенный перехват API-функций осуществляется путем установки аппаратных точек останова на исполнение (которых, увы, всего 4) с последующим пресечением попыток гостевой системы «подсмотреть» истинное содержимое регистров DRx. Подробное описание технологии Pacifica содержится в техническом руководстве «AMD64 Architecture Programmer's Manual Vol. 2: System Programming», доступном на http://www.amd.com/us-en/assets/content_type/white_papers_and_tech_docs/24593.pdf.