Зверский взлом Windows Vista

Крис Касперски

Хакер, номер #095, стр. 095-068-7

Теоретически можно воспользоваться часами реального времени, атомными часами, доступными через Сеть, или даже внешним по отношению к компьютеру хронометром. Гипервизор способен «подкручивать» часы реального времени (правда, при этом они начнут отставать, что пользователь сможет заметить), перехватывать и корректировать сетевой трафик, если в нем присутствует атомное время (хм, а не надорвется он это делать?). Но на хронометр, сжимаемый ладонью пользователя, он воздействовать не в состоянии, если, конечно, пользователь сам не находится в виртуальном мире ;-).

Отличная Красная Пилюля получилась, нечего сказать... «Сейчас будет запущена тестовая программа. Пожалуйста, воспользуйтесь своими электронными часами и определите время ее выполнения. Для уменьшения погрешности продолжительность теста составит около 60 секунд». Ну и кто это будет делать? А с чем сравнивать полученные показания мы подумали? Чтобы обнаружить присутствие гипервизора, необходимо иметь эталонный компьютер с таким же точно процессором, погруженным в термостат, поскольку многие процессоры меняют свою тактовую частоту в зависимости от температуры. Но даже в этом случае гипервизор может распознать команду RDMSR EFER, выполняющуюся в цикле, и пропускать некоторые итерации для достижения идентичного времени выполнения.

Некоторые горячие головы предлагают читать содержимое оперативной памяти через DMA, записывая ее на диск, а потом искать в этой куче следы присутствия гипервизора. Ну, во-первых, они очень сильно переоценивают возможности контроллеров DMA по чтению памяти, во-вторых, гипервизор, контролируя обращения к портам ввода-вывода, легко это отследит, а в-третьих, даже если и не отследит, что искать-то? При условии, что сигнатура Голубой Пилюли неизвестна (или она построена на полиморфной основе), мы ни за что не обнаружим ее!

Вместо заключения

Так что же, выходит, Красной Пилюли не существует? А это еще как сказать... Ведь и Голубой Пилюли тоже не существует. Во всяком случае, пока. Да, технологии аппаратной виртуализации позволяют создать Голубую Пилюлю, которую никак нельзя обнаружить. Теоретически. Практически же все упирается в сложность реализации, так что не стоит обсуждать конструкцию сферических коней в вакууме, а лучше решать проблемы по мере их поступления.