Руткитам – бой!

Крис Касперски

Хакер, номер #102, стр. 102-032-4

К сожалению, поиск в базе знаний осуществляется только по имени, без учета содержимого, и грамотной малвари ничего не стоит прикинуться честной программой. Однако подавляющее большинство современных вирусов написано пионерами, которые не научились даже генерировать случайные имена, и самое большее, на что они способы, — это зашить внутрь малвари несколько имен, выбираемых наугад. Как следствие, поиск по именам дает надежные позитивные результаты, то есть если в базе знаний такой-то файл отнесен к вирусам, в его агрессивной природе можно не сомневаться. А вот на негативный результат полагаться нельзя, и все «неопасные» файлы необходимо прогнать через антивирусы, чтобы удостовериться, что мы имеем дело с честной программой, а не маскирующейся малварью. Также обращай внимание и на дату создания. Если файл представляет собой компонент какого-то приложения, то время его создания должно совпадать со временем создания всех остальных принадлежащих приложению файлов.

Игры с руткитами в прятки

Руткитом называют продвинутую мальварь, скрывающую свое присутствие на компьютере. В эпоху господства MS-DOS такие программы называли «стелс-вирусами» (Stealth), но сейчас эта терминология признана устаревшей. К тому же от стелс-вирусов, ныкающих свою тушу в заражаемых файлах, руткиты отличаются тем, что используются для сокрытия произвольных файлов, процессов и сетевых соединений - тех, которые им укажет разработчик малвари. В исполняемые объекты они внедряются редко. Можно даже сказать, что руткиты вообще никуда не внедряются, но легче от этого не становится. Сокрытые файлы не отображаются ни в проводнике, ни в FAR'е, а сокрытые процессы отсутствуют в диспетчере задач, поэтому ни Anti-Spy Info, ни поиск по дате создания не покажут ничего интересного. Ну как дальше жить?!

На самом деле, руткиты обнаружить легче всего. Активная маскировка выдает факт внедрения! Достаточно получить список файлов/процессоров/сетевых соединений, обратившись напрямую к внутренним функциям ядра, и сравнить полученный результат с данными, возвращенными высокоуровневыми API-функциями операционной системы. Всякое расхождение между ними будет свидетельствовать о заражении. Намерения руткита определить сложнее (некоторые легальные защитные механизмы устроены по принципу руткитов), однако нам этого и не требуется. Хорошие программы не маскируются! Даже если руткит не собирается причинять нам вред, используемые им методики стелсирования — это потенциальный глюкодром, нарушающий нормальную работу операционной системы. А кому нужны лишние критические ошибки и голубые экраны смерти?!

Для поиска руткитов можно воспользоваться бесплатной программой Rootkit Revealer, написанной знаменитым исследователем Windows NT Марком Руссиновичем. Она занимает (в упакованном виде) чуть больше двухсот килобайт (причем половину объема отъедает помощь): http://download.sysinternals.com/Files/RootkitRevealer.zip, но, несмотря на свою простоту, обнаруживает (по утверждению ее создателя) все руткиты, представленные на сайте www.rootkit.com – основном источнике руткитов для пионеров и прочих парнокопытных.